CVE-2019-7609 — 神龙十问 AI 深度分析摘要

🚨 **本质**：原型污染导致代码注入。 💥 **后果**：远程攻击者可在 Kibana 进程中执行任意 JavaScript 代码，甚至直接执行系统命令（RCE）。

🔍 **CWE**：CWE-94 (代码注入)。 📍 **缺陷点**：Timelion 可视化器未正确清理用户输入，导致攻击者污染 `Object.prototype`。

📦 **厂商**：Elastic。 📉 **版本**：Kibana **5.6.15 之前** 和 **6.6.1 之前** 版本。

👑 **权限**：以 Kibana 进程权限运行。 📂 **数据**：可执行任意命令，完全控制受影响的服务，可能导致数据泄露或服务器沦陷。

⚡ **门槛**：低。 🔓 **认证**：**未授权**（无需登录即可利用）。 🛠️ **条件**：需启用 Timelion 和 Canvas 功能。

🧨 **Exp**：有。 🔗 **PoC**：GitHub 上已有多个现成脚本（如 jas502n, LandGrey 等），支持一键反弹 Shell。

🔎 **自查**： 1. 检查 Kibana 版本是否 < 5.6.15 或 < 6.6.1。 2. 扫描是否存在 Timelion 接口。 3. 尝试访问 Canvas 页面触发原型污染。

🛡️ **修复**：官方已发布补丁。 📅 **时间**：2019-03-25 公布。 ✅ **方案**：升级至 Kibana 5.6.15 或 6.6.1 及以上版本。

🚧 **临时规避**： 1. **升级**是唯一根治方法。 2. 若无法升级，建议**禁用** Timelion 和 Canvas 插件。 3. 限制 Kibana 端口访问，仅允许内网信任 IP 访问。

🔥 **优先级**：极高。 ⚠️ **理由**：未授权 + RCE + 已有成熟 Exp。建议立即排查并升级，否则服务器随时可能失守。