5601 - Pentesting Kibana
Informazioni di base
Kibana è conosciuto per la sua capacità di cercare e visualizzare dati all'interno di Elasticsearch, di solito in esecuzione sulla porta 5601. Serve come interfaccia per le funzioni di monitoraggio, gestione e sicurezza del cluster Elastic Stack.
Comprensione dell'autenticazione
Il processo di autenticazione in Kibana è intrinsecamente legato alle credenziali utilizzate in Elasticsearch. Se Elasticsearch ha l'autenticazione disabilitata, Kibana può essere accessibile senza alcuna credenziale. Al contrario, se Elasticsearch è protetto da credenziali, le stesse credenziali sono necessarie per accedere a Kibana, mantenendo le stesse autorizzazioni utente su entrambe le piattaforme. Le credenziali potrebbero essere trovate nel file /etc/kibana/kibana.yml. Se queste credenziali non si riferiscono all'utente kibana_system, potrebbero offrire diritti di accesso più ampi, poiché l'accesso dell'utente kibana_system è limitato alle API di monitoraggio e all'indice .kibana.
Azioni dopo l'accesso
Una volta ottenuto l'accesso a Kibana, sono consigliabili diverse azioni:
Esplorare i dati da Elasticsearch dovrebbe essere una priorità.
La possibilità di gestire gli utenti, inclusa la modifica, la cancellazione o la creazione di nuovi utenti, ruoli o chiavi API, si trova in Stack Management -> Users/Roles/API Keys.
È importante verificare la versione installata di Kibana per eventuali vulnerabilità conosciute, come la vulnerabilità RCE identificata nelle versioni precedenti alla 6.6.0 (Maggiori informazioni).
Considerazioni SSL/TLS
Nei casi in cui SSL/TLS non sia abilitato, è necessario valutare attentamente il potenziale rischio di divulgazione di informazioni sensibili.
Riferimenti
Last updated