CVE-2015-5531 — 神龙十问 AI 深度分析摘要

🚨 **本质**：Elasticsearch 快照 API 存在**目录遍历**缺陷。 💥 **后果**：攻击者可通过 HTTP 请求**读取服务器任意文件**，导致敏感数据泄露。

🔍 **缺陷点**：快照（Snapshot）API 在处理文件路径时未做严格校验。 ⚠️ **CWE**：数据中未提供具体 CWE 编号，但属于典型的**路径遍历/目录穿越**漏洞。

📦 **受影响组件**：**Elasticsearch**。 📅 **受影响版本**：**1.6.1 之前**的所有版本。 🏢 **厂商**：荷兰 Elasticsearch 公司。

🕵️ **黑客能力**： 1. **读取任意文件**：通过构造恶意 API 调用，获取服务器本地文件内容。 2. **数据窃取**：可能读取配置文件、密钥、日志等敏感信息。 3. **远程利用**：无需本地访问，通过 RESTful HTTP 接口即可实施。

🚪 **利用门槛**：**低**。 ✅ **无需认证**：描述指出“远程攻击者可...利用”，暗示在默认或开放配置下可直接利用。 🌐 **基于 HTTP**：利用 RESTful API 接口，技术门槛不高。

📜 **现成 Exp**：**有**。 🔗 **PoC 来源**：GitHub 上存在多个 PoC 项目（如 `M0ge/CVE-2015-5531-POC`）。 🛠️ **功能**：支持指定 URL 和读取文件，部分已自动进行 Unicode 解码，方便测试。

🔎 **自查方法**： 1. **版本检查**：确认 Elasticsearch 版本是否 < 1.6.1。 2. **API 探测**：尝试访问 Snapshot API 接口。 3. **扫描工具**：使用 Nuclei 模板 (`http/cves/2015/CVE-2015-5531.yaml`) 进行自动化扫描。 4. **特征匹配**：监控针对快照 API 的异常路径遍历请求。

🛡️ **官方修复**：**已修复**。 📅 **发布时间**：2015-08-17 公布。 ✅ **解决方案**：升级至 **Elasticsearch 1.6.1 或更高版本**。

🚧 **临时规避**： 1. **升级版本**：最推荐，直接升级到 1.6.1+。 2. **网络隔离**：限制 Elasticsearch 端口（默认 9200）的公网访问，仅允许内网访问。 3. **访问控制**：配置防火墙或 WAF，拦截针对 Snapshot API 的恶意路径遍历请求。

⚡ **优先级**：**高**。 📉 **风险**：数据泄露风险极大，且 PoC 现成。 📢 **建议**：立即排查版本，若为旧版本需**紧急升级**或实施网络隔离。