• 漏洞编号：CVE-2024-37288
• 漏洞等级：高危
• 漏洞标签：暂无
• 发布时间：2024-09-09

漏洞描述

Kibana 是开源的数据分析和可视化平台，Amazon Bedrock 是用于生成 AI 应用程序的服务，Kibana 中的 Amazon Bedrock connector 是用于将 Kibana 与 Amazon Bedrock 集成的连接器插件。2024年9月，官方披露 CVE\-2024\-37288 Kibana 8.15.1 Amazon Bedrock YAML 反序列化漏洞。当 Kibana 启用 Integration Assistant 功能并配置了 Amazon Bedrock 连接器时，解析攻击者构造的恶意 YAML 文档会触发反序列化漏洞，攻击者可利用该漏洞远程执行任意代码。

修复建议

1. 通过在 kibana.yml 中配置 `xpack.integration_assistant.enabled:false` 禁用 Integration Assistant 功能 2. 增加Kibana权限认证 3. 升级至安全版本。

参考链接

https://discuss.elastic.co/t/kibana-8-15-1-security-update-esa-2024-27-esa-2024-28/366119

https://avd.aliyun.com/detail?id=AVD-2024-37288