CVE-2025-12147
ŚrednieCVSS 6.0Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 18 - wyżej niż 18% wszystkich znanych CVE
Streszczenie
W Search Guard FLX w wersjach 3.1.1 i wcześniejszych reguły Field-Level Security (FLS) są nieprawidłowo egzekwowane dla pól o wartościach obiektowych. Gdy reguła wykluczająca FLS (np. ~field) jest zastosowana do pola zawierającego obiekt, obiekt jest usuwany z _source, ale jego elementy podrzędne pozostają dostępne w zapytaniach wyszukiwania, co pozwala na rekonstrukcję oryginalnej zawartości.
Ocena ryzyka
Atakujący może wywnioskować lub zrekonstruować zawartość wykluczonego obiektu, co prowadzi do ujawnienia poufnych danych. Może to naruszyć polityki bezpieczeństwa i prywatności.
Rekomendacja
Zaktualizuj Search Guard FLX do wersji nowszej niż 3.1.1. Jeśli aktualizacja nie jest możliwa, dodaj dodatkową regułę wykluczającą dla elementów podrzędnych obiektu (np. ~object.*).
Inne podatności w Search Guard FLX
Zobacz wszystkie- CVE-2026-4819Średnie
W Search Guard FLX od wersji 1.0.0 do 4.0.1 stwierdzono podatność, w której funkcja audytu logowania może rejestrować dane uwierzytelniające użytkowników logujących się do Kibany.
- CVE-2026-4818Średnie
Search Guard FLX w wersjach od 3.0.0 do 4.0.1 umożliwia użytkownikom bez odpowiednich uprawnień wykonywanie operacji zarządzania na strumieniach danych.
- CVE-2026-4799Średnie
Search Guard FLX do wersji 4.0.1 umożliwia przekierowanie użytkownika na niezaufany URL za pomocą specjalnie spreparowanych żądań.
- CVE-2025-12149Średnie
W Search Guard FLX w wersjach 3.1.2 i wcześniejszych, gdy wyszukiwanie jest wyzwalane z watcha Signals, reguła Document-Level Security (DLS) nie jest egzekwowana, co pozwala na dostęp do wszystkich dokumentów w zapytanych indeksach, mimo że DLS jest poprawnie egzekwowane w innych miejscach.
Oryginalny opis (angielski, źródło NVD)
In Search Guard FLX versions 3.1.1 and earlier, Field-Level Security (FLS) rules are improperly enforced on object-valued fields. When an FLS exclusion rule (e.g., ~field) is applied to a field which contains an object as its value, the object is correctly removed from the _source returned by search operations. However, the object members (i.e., child attributes) remain accessible to search queries. This exposure allows adversaries to infer or reconstruct the original contents of the excluded object. Workaround - If you cannot upgrade immediately and FLS exclusion rules are used for object valued attributes (like ~object), add an additional exclusion rule for the members of the object (like ~object.*).
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS