5601 - Pentesting Kibana
Informations de base
Kibana est connu pour sa capacité à rechercher et visualiser des données dans Elasticsearch, fonctionnant généralement sur le port 5601. Il sert d'interface pour la surveillance, la gestion et les fonctions de sécurité du cluster Elastic Stack.
Compréhension de l'authentification
Le processus d'authentification dans Kibana est intrinsèquement lié aux identifiants utilisés dans Elasticsearch. Si l'authentification d'Elasticsearch est désactivée, Kibana peut être accédé sans aucun identifiant. En revanche, si Elasticsearch est sécurisé avec des identifiants, les mêmes identifiants sont nécessaires pour accéder à Kibana, maintenant des autorisations d'utilisateur identiques sur les deux plateformes. Les identifiants peuvent être trouvés dans le fichier /etc/kibana/kibana.yml. Si ces identifiants ne concernent pas l'utilisateur kibana_system, ils peuvent offrir des droits d'accès plus étendus, car l'accès de l'utilisateur kibana_system est limité aux API de surveillance et à l'index .kibana.
Actions à entreprendre après l'accès
Une fois l'accès à Kibana est sécurisé, plusieurs actions sont recommandées :
Explorer les données d'Elasticsearch devrait être une priorité.
La capacité de gérer les utilisateurs, y compris l'édition, la suppression ou la création de nouveaux utilisateurs, rôles ou clés API, se trouve sous Gestion de la pile -> Utilisateurs/Rôles/Clés API.
Il est important de vérifier la version installée de Kibana pour les vulnérabilités connues, telles que la vulnérabilité RCE identifiée dans les versions antérieures à 6.6.0 (Plus d'informations).
Considérations SSL/TLS
Dans les cas où SSL/TLS n'est pas activé, le potentiel de fuite d'informations sensibles doit être soigneusement évalué.
Références
Dernière mise à jour