【漏洞通告】Kibana任意代码执行漏洞（CVE-2024-37288）

文章预览

一、漏洞 概述 漏洞名称    Kibana任意代码执行漏洞 CVE   ID CVE-2024-37288 漏洞类型 反序列化 发现时间 2024-09-09 漏洞评分 9.9 漏洞等级 高危 攻击向量 网络 所需权限 低 利用难度 低 用户交互 无 PoC/EXP 未公开 在野利用 未发现 Kibana是一个开源的分析与可视化平台，设计用于和 Elasticsearch协作，它允许用户搜索、查看、交互存放在Elasticsearch索引里的数据，并通过各种图表、表格、地图等形式直观地展示数据，从而实现高级的数据分析与可视化。 2024年9月9日，启明星辰集团VSRC监测到Kibana中修复了2个任意代码执行漏洞，详情如下： CVE -2024-37288 ：Kibana任意代码执行漏洞 Kibana 8.15.0版本中存在反序列化漏洞，当使用Elastic Security内置AI工具并配置了Amazon Bedrock Connector时，威胁者可利用Amazon Bedrock Connector传递恶意设计的YAML数据/文档到 Kibana，从而触发Kibana中的 ………………………………