Elasticsearch Improper Access Control vulnerability
CISA potwierdza wykorzystanie tej podatności w rzeczywistych atakach. Priorytetowo sprawdź, czy dotyczy Twojej aplikacji. CISA KEV · CC0 1.0
The default configuration in Elasticsearch before 1.4.0.Beta1 enables dynamic scripting, which allows remote attackers to execute arbitrary MVEL expressions and Java code via the source parameter to _search. NOTE: this only violates the vendor's intended security policy if the user does not run Elasticsearch in its own independent virtual machine.
Czego dotyczy
Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.
| Platforma | Paczka | Podatne wersje | Poprawka w wersji |
|---|---|---|---|
| Java / Kotlin (Maven) | org.elasticsearch:elasticsearch | < 1.4.0.Beta1 | 1.4.0.Beta1 |
Odnośniki
- https://nvd.nist.gov/vuln/detail/CVE-2014-3120
- https://github.com/elastic/elasticsearch/issues/7151
- https://github.com/elastic/elasticsearch/pull/7642
- https://github.com/elastic/elasticsearch/commit/bd0eb32d9c3c3f5b6e5f8630c859cd04bdcd4e06
- https://github.com/elastic/elasticsearch/commit/f9de8b65898509e038e33215db0720b508477a12
- https://github.com/elastic/elasticsearch
- https://web.archive.org/web/20140813071419/http://www.securityfocus.com/bid/67731
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2014-3120
- https://www.elastic.co/blog/logstash-1-4-3-released
- https://www.elastic.co/community/security
- https://www.found.no/foundation/elasticsearch-security/#staying-safe-while-developing-with-elasticsearch
- http://bouk.co/blog/elasticsearch-rce
- http://www.exploit-db.com/exploits/33370
- http://www.rapid7.com/db/modules/exploit/multi/elasticsearch/script_mvel_rce
- Wektor CVSS
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:N/E:H- Słabość (CWE)
CWE-284- Platforma
- Java / Kotlin (Maven)
- Paczka
org.elasticsearch:elasticsearch- Ujawniono
- 17.05.2022
- Aktualizacja
- 11.10.2026 12:22
Źródła i licencje
OSV / GitHub Advisory Database - GHSA-mrfm-jxgf-2h6v - CC BY 4.0
Historia podatności: org.elasticsearch:elasticsearch
Wszystkie opisane podatności tej paczki (Java / Kotlin (Maven)), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.
- Wszystkich wpisów
- 40
- Pierwsza → ostatnia
- 03.2021 05.2025
- Bez poprawki
- 0
- Wykorzystywana w atakach
- 2
Rozkład istotności
- Wysoka 8
- Średnia 31
- Niska 1
Ujawnienia w latach
- 2021: 7
- 2022: 19
- 2023: 4
- 2024: 7
- 2025: 3
- 2026: 0
-
Elasticsearch Improper Access Control vulnerability ten wpis
Dowiedz się, które podatności dotyczą Twojej aplikacji
Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.