Elasticsearch allows insertion of sensitive information into log files when using deprecated URIs
Elasticsearch generally filters out sensitive information and credentials before logging to the audit log. It was found that this filtering was not applied when requests to Elasticsearch use certain deprecated URIs for APIs. The impact of this flaw is that sensitive information such as passwords and tokens might be printed in cleartext in Elasticsearch audit logs. Note that audit logging is disabled by default and needs to be explicitly enabled and even when audit logging is enabled, request bodies that could contain sensitive information are not printed to the audit log unless explicitly configured.
The _xpack/security APIs have been deprecated in Elasticsearch 7.x and were entirely removed in 8.0.0 and later. The only way for a client to use them in Elasticsearch 8.0.0 and later is to provide the Accept: application/json; compatible-with=7 header. Elasticsearch official clients do not use these deprecated APIs.
The list of affected, deprecated APIs, is the following:
POST /_xpack/security/user/{username}
PUT /_xpack/security/user/{username}
PUT /_xpack/security/user/{username}/_password
POST /_xpack/security/user/{username}/_password
PUT /_xpack/security/user/_password
POST /_xpack/security/user/_password
POST /_xpack/security/oauth2/token
DELETE /_xpack/security/oauth2/token
POST /_xpack/security/saml/authenticate
Betroffene Software
Klicken Sie auf eine Technologie, um alle zugehörigen Schwachstellen anzuzeigen.
| Plattform | Paket | Anfällige Versionen | Behoben in |
|---|---|---|---|
| Java / Kotlin (Maven) | org.elasticsearch:elasticsearch | >= 7.0.0, < 7.17.13, >= 8.0.0, < 8.9.2 | 7.17.13, 8.9.2 |
Verweise
- CVSS-Vektor
CVSS:3.1/AV:L/AC:H/PR:H/UI:N/S:U/C:H/I:N/A:N- Schwäche (CWE)
CWE-532- Plattform
- Java / Kotlin (Maven)
- Paket
org.elasticsearch:elasticsearch- Veröffentlicht
- 26.10.2023
- Aktualisiert
- 11.10.2026 12:21
Quellen und Lizenzen
OSV / GitHub Advisory Database - GHSA-99pc-69q9-jxf2 - CC BY 4.0
Schwachstellenhistorie: org.elasticsearch:elasticsearch
Alle veröffentlichten Schwachstellen dieses Pakets (Java / Kotlin (Maven)), neueste zuerst. Zeigt, ob es ein einmaliger Ausrutscher ist oder ein Paket, das man im Auge behalten muss.
- Einträge insgesamt
- 40
- Erste → letzte
- 03.2021 05.2025
- Ohne Fix
- 0
- In Angriffen ausgenutzt
- 2
Verteilung nach Schweregrad
- Hoch 8
- Mittel 31
- Niedrig 1
Veröffentlichungen pro Jahr
- 2021: 7
- 2022: 19
- 2023: 4
- 2024: 7
- 2025: 3
- 2026: 0
-
Elasticsearch allows insertion of sensitive information into log files when using deprecated URIs dieser Eintrag
Erkennen Sie Schwachstellen in Ihrer Anwendung
Mit der DockRay-Integration und aktivierter Softwareinventarisierung prüft DockRay gemeldete Komponentenversionen auf bekannte Schwachstellen und benachrichtigt Sie über bestätigte Treffer. Die Abdeckung hängt von der unterstützten Technologie und den verfügbaren Meldungen ab.