【严重】Kibana 8.7.0 任意代码执行漏洞

这篇具有很好参考价值的文章主要介绍了【严重】Kibana 8.7.0 任意代码执行漏洞。希望对大家有所帮助。如果存在错误或未考虑完全的地方,请大家不吝赐教,您也可以点击"举报违法"按钮提交疑问。

漏洞描述

Kibana是用于Elasticsearch的数据可视化仪表板。Kibana在8.7.0版本引入了Synthetic监控功能,用户可配置编写playwright中的javascript代码实现web应用监控。

具备Kibana登录权限的攻击者可利用此功能编写恶意playwright脚本, 从而在Kibana主机中执行任意系统命令。

漏洞名称 Kibana 8.7.0 任意代码执行漏洞
漏洞类型 代码注入
发现时间 2023/5/3
漏洞影响广度 极小
MPS编号 MPS-1907-mpry
CVE编号 CVE-2023-31415
CNVD编号 -

影响范围

kibana@[8.7.0, 8.7.1)

修复方案

将组件 kibana 升级至 8.7.1 及以上版本

参考链接

https://www.oscs1024.com/hd/MPS-1907-mpry

https://discuss.elastic.co/t/kibana-8-7-1-security-updates/332330

https://www.elastic.co/guide/en/observability/current/synthetics-get-started-ui.html

关于墨菲安全

墨菲安全是一家为您提供专业的软件供应链安全管理的科技公司,核心团队来自百度、华为、乌云等企业,公司为客户提供完整的软件供应链安全管理平台,围绕SBOM提供软件全生命周期的安全管理,平台能力包括软件成分分析、源安全管理、容器镜像检测、漏洞情报预警及商业软件供应链准入评估等多个产品。为客户提供从供应链资产识别管理、风险检测、安全控制、一键修复的完整控制能力。
开源项目:https://github.com/murphysecurity/murphysec/?sf=qbyj

产品可以极低成本的和现有开发流程中的各种工具一键打通,包括 IDE、Gitlab、Bitbucket、Jenkins、Harbor、Nexus 等数十种工具无缝集成。
免费代码安全检测工具: https://www.murphysec.com/?sf=qbyj
免费情报订阅: https://www.oscs1024.com/cm/?sf=qbyj

【严重】Kibana 8.7.0 任意代码执行漏洞文章来源地址https://www.toymoban.com/news/detail-460833.html

到了这里,关于【严重】Kibana 8.7.0 任意代码执行漏洞的文章就介绍完了。如果您还想了解更多内容,请在右上角搜索TOY模板网以前的文章或继续浏览下面的相关文章,希望大家以后多多支持TOY模板网!

本文来自互联网用户投稿,该文观点仅代表作者本人,不代表本站立场。本站仅提供信息存储空间服务,不拥有所有权,不承担相关法律责任。如若转载,请注明出处: 如若内容造成侵权/违法违规/事实不符,请点击违法举报进行投诉反馈,一经查实,立即删除!

领支付宝红包 赞助服务器费用

相关文章

  • eyoucms 1.5.5任意命令执行漏洞(0day)

    eyoucms1.5.5后台存在任意命令执行漏洞。 eyoucms1.5.5 漏洞位置 applicationadminlogicFilemanagerLogic.php editFile函数。 漏洞分析 当我们在模板管理功能的页面中传入php代码时会被解析。但是存在过滤,过滤如下: 很明显主要的目的是不让传带php标签的内容,大体规则如下。 1、内容中不

    2024年02月02日
    浏览(40)
  • 用友NC BeanShell命令执行漏洞(CNVD-2021-30167)+任意文件读取漏洞+接口信息泄露

    用友NC是一款企业级管理软件,在大中型企业广泛使用。实现建模、开发、继承、运行、管理一体化的IT解决方案信息化平台。用友 NC bsh.servlet.BshServlet 存在远程命令执行漏洞,通过BeanShell 执行远程命令获取服务器权限。 漏洞POC 访问出现这个页面 可能存在漏洞(还有一种情

    2024年02月11日
    浏览(31)
  • XXL-JOB 任务调度中心 后台任意命令执行漏洞

    在日常开发中,经常会用定时任务执行某些不紧急又非常重要的事情,例如批量结算,计算当日的订单量,当日的成本收入等。当存在大量定时任务的时候,任务的管理也会成为一个比较头痛的问题。xxl-job,就是一个比较成熟的分布式任务调度平台。XXL-JOB 任务调度中心系统

    2024年02月08日
    浏览(42)
  • 通达OA v11.9 getdata任意命令执行漏洞复现+利用

          通达OA(Office Anywhere网络智能办公系统)是由北京通达信科科技有限公司自主研发的协同办公自动化软件,是与中国企业管理实践相结合形成的综合管理办公平台。包括流程审批、行政办公、日常事务、数据统计分析、即时通讯、移动办公等,帮助广大用户降低沟通和

    2024年02月05日
    浏览(86)
  • 你写的防止任意文件上传漏洞的代码,不一定安全

    上传一个PHP文件,提示文件类型错误,使用ApiPost修改上传的Content-Type,把原先的application/x-httpd-php修改为image/png,则可绕过。 因为: $_FILES[\\\'type\\\']是根据上传文件的content-type获取的,并文件本身的mime-type,而content-type又可以被篡改。 说话得有依据,经过反复的追Laravel的源码:

    2024年02月04日
    浏览(33)
  • RCE代码执行漏和命令执行漏洞

    前置知识: 漏洞检测: 在了解漏洞概念前,应该先知道一下这个漏洞如何检测的,我们应该或多或少听过白盒测试(白盒),黑盒测试(黑盒)。 白盒测试: 白盒测试是对源代码和内部结构的测试,测试人员是可以知道内部的逻辑和结构的,差不多就是代码审计。 黑盒测试:

    2024年02月19日
    浏览(39)
  • 代码执行漏洞 | iwebsec

    00-代码执行漏洞原理 代码执行漏洞是指应用程序本身过滤不严,用户可以通过请求将代码注入到应用中执行。PHP代码执行漏洞可以把代码注入应用中最终到webserver去执行。这样的漏洞如果没有特殊的过滤,相当于一个web后门的存在。该漏洞主要由 等函数的参数过滤不严格导

    2024年02月09日
    浏览(86)
  • 代码执行漏洞

    一、代码执行漏洞: 1、漏洞简述:         当应用在调用一些字符串转化为代码的函数时,没有考虑用户是否能控制这个字符串,将造成代码执行漏洞。 2、代码执行常见函数: (1)PHP: (2)JAVA: 没有类似的函数,但是一些引擎可以达成相同的效果 二、实例: 1、对

    2024年02月08日
    浏览(106)
  • Solidity 代码执行漏洞原理

    目录 1. 三种 call 方式 2. 两种 call 参数类型 3. 漏洞场景 3.1 delegatecall 3.2 call Solidity 中一个合约调用其他合约的函数有三种方式: 1)call() call 是最常用的调用方式,call 的外部调用上下文是 被调用者合约 ,也就是指执行环境为被调用者的运行环境,调用后内置变量 msg 的值会

    2024年02月03日
    浏览(36)
  • 漏洞复现-Drupal远程代码执行漏洞(CVE-2018-7602)

    Drupal 7.x 和 8.x 的多个子系统中存在一个远程执行代码漏洞。这可能允许攻击者利用 Drupal 站点上的多个攻击媒介,从而导致该站点受到威胁。此漏洞与 Drupal 核心 - 高度关键 - 远程代码执行 - SA-CORE-2018-002 有关。SA-CORE-2018-002 和此漏洞都在野外被利用。 -c 后面接命令,紧随账号

    2024年02月16日
    浏览(49)

觉得文章有用就打赏一下文章作者

支付宝扫一扫打赏

博客赞助

微信扫一扫打赏

请作者喝杯咖啡吧~博客赞助

支付宝扫一扫领取红包,优惠每天领

二维码1

领取红包

二维码2

领红包