Elastic Kibana 原型污染致任意代码执行漏洞(CVE-2025-25014)安全风险通告

奇安信 CERT 2025-05-07 03:32

● 
点击↑蓝字关注我们，获取更多安全风险通告

漏洞概述
漏洞名称	Elastic Kibana 原型污染致任意代码执行漏洞
漏洞编号	QVD-2025-18453,CVE-2025-25014
公开时间	2025-05-06	影响量级	十万级
奇安信评级	高危	CVSS 3.1分数	9.1
威胁类型	代码执行	利用可能性	高
POC状态	未公开	在野利用状态	未发现
EXP状态	未公开	技术细节状态	未公开
危害描述：攻击者利用该漏洞后，可以在受影响的系统上执行任意代码，可能导致数据泄露、系统被完全控制等严重后果。

01

漏洞详情

>
>
>
>

影响组件

Kibana 是一款开源的数据可视化和分析平台，主要用于与 Elasticsearch 集成，帮助用户通过直观的界面和丰富的可视化工具快速分析和探索数据，广泛应用于日志分析、实时监控和数据洞察等领域。

>
>
>
>

漏洞描述

近日，奇安信CERT监测到官方修复
Elastic Kibana 原型污染致任意代码执行漏洞(CVE-2025-25014)，该漏洞源于 Kibana 中机器学习和报告端点的原型污染问题，攻击者可以通过精心构造的文件上传和特定的 HTTP 请求绕过验证机制，攻击者利用该漏洞后，可以在受影响的系统上执行任意代码，可能导致数据泄露、系统被完全控制等严重后果。鉴于此漏洞影响范围较大，建议客户尽快做好自查及防护。

02

影响范围

>
>
>
>

影响版本

8.3.0 <= Kibana <= 8.17.5
Kibana = 8.18.0

Kibana = 9.0.0

>
>
>
>

其他受影响组件

无

03

受影响资产情况

奇安信鹰图资产测绘平台数据显示，
Elastic Kibana 原型污染致任意代码执行漏洞(CVE-2025-25014)
关联的国内风险资产总数为69619个，关联IP总数为13216个。国内
风险资产分布情况如下：

Elastic Kibana 原型污染致任意代码执行漏洞(CVE-2025-25014)
关联的全球风险资产总数为139829个，关联IP总数为33314个。全球风险资产分布情况如下：

04

处置建议

>
>
>
>

安全更新

目前官方已有可更新版本，建议受影响用户升级至最新版本:

Kibana >= 8.17.6

Kibana >= 8.18.1

Kibana >= 9.0.1

下载链接

https://github.com/elastic/kibana/releases

修复缓解措施：

kibana.yml中禁用机器学习和报告端点功能：

xpack.ml.enabled: false

xpack.ml.ad.enabled: false

xpack.reporting.enabled: false

05

参考资料

[1]
https://discuss.elastic.co/t/kibana-8-17-6-8-18-1-or-9-0-1-security-update-esa-2025-07/377868

[2]
https://securityonline.info/cve-2025-25014-cvss-9-1-prototype-pollution-in-kibana-opens-door-to-code-execution/

06

时间线

2025年5月7日，奇安信 CERT发布安全风险通告。

07

漏洞情报服务

奇安信ALPH
A
威胁分析平台已支持漏洞情报订阅服务：

奇安信 CERT

致力于
第一时间为企业级用户提供权威
漏洞情报和有效
解决方案。

点击↓阅读原文
，到ALPHA威胁分析平台
订阅更多漏洞信息。