CVE-2025-12149
ŚrednieCVSS 6.0Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 19 - wyżej niż 19% wszystkich znanych CVE
Streszczenie
W Search Guard FLX w wersjach 3.1.2 i wcześniejszych, gdy wyszukiwanie jest wyzwalane z watcha Signals, reguła Document-Level Security (DLS) nie jest egzekwowana, co pozwala na dostęp do wszystkich dokumentów w zapytanych indeksach, mimo że DLS jest poprawnie egzekwowane w innych miejscach.
Ocena ryzyka
Naruszenie kontroli dostępu na poziomie dokumentów może prowadzić do ujawnienia wrażliwych danych, do których użytkownik nie powinien mieć dostępu, co stanowi poważne ryzyko dla poufności.
Rekomendacja
Zaleca się aktualizację Search Guard FLX do wersji nowszej niż 3.1.2, która zawiera poprawkę. Należy również przejrzeć konfigurację watchy Signals, aby upewnić się, że DLS jest egzekwowane.
Inne podatności w Search Guard FLX
Zobacz wszystkie- CVE-2026-4819Średnie
W Search Guard FLX od wersji 1.0.0 do 4.0.1 stwierdzono podatność, w której funkcja audytu logowania może rejestrować dane uwierzytelniające użytkowników logujących się do Kibany.
- CVE-2026-4818Średnie
Search Guard FLX w wersjach od 3.0.0 do 4.0.1 umożliwia użytkownikom bez odpowiednich uprawnień wykonywanie operacji zarządzania na strumieniach danych.
- CVE-2026-4799Średnie
Search Guard FLX do wersji 4.0.1 umożliwia przekierowanie użytkownika na niezaufany URL za pomocą specjalnie spreparowanych żądań.
- CVE-2025-12147Średnie
W Search Guard FLX w wersjach 3.1.1 i wcześniejszych reguły Field-Level Security (FLS) są nieprawidłowo egzekwowane dla pól o wartościach obiektowych. Gdy reguła wykluczająca FLS (np. ~field) jest zastosowana do pola zawierającego obiekt, obiekt jest usuwany z _source, ale jego elementy podrzędne pozostają dostępne w zapytaniach wyszukiwania, co pozwala na rekonstrukcję oryginalnej zawartości.
Oryginalny opis (angielski, źródło NVD)
In Search Guard FLX versions 3.1.2 and earlier, while Document-Level Security (DLS) is correctly enforced elsewhere, when the search is triggered from a Signals watch, the DLS rule is not enforced, allowing access to all documents in the queried indices.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS