CVE-2026-103007
WysokieCVSS 7.2Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 25 - wyżej niż 25% wszystkich znanych CVE
Streszczenie
Elasticsearch zawiera podatność nieprawidłowej autoryzacji w opcjonalnym uprawnieniu delegowanym, które pozwala administratorowi na ograniczone zarządzanie rolami. Z powodu niepełnego egzekwowania zakresu, użytkownik z tym uprawnieniem może rozszerzyć swój dostęp do indeksów, które powinny pozostać ograniczone, w tym do wewnętrznych danych bezpieczeństwa.
Ocena ryzyka
Ryzyko obejmuje eskalację uprawnień aż do pełnej kontroli administracyjnej nad klastrem. Może to prowadzić do naruszenia poufności i integralności danych.
Rekomendacja
Zaleca się aktualizację Elasticsearch do wersji z poprawką. Należy również dokładnie skonfigurować uprawnienia delegowane i regularnie audytować role użytkowników.
Inne podatności w Elasticsearch
Zobacz wszystkie- CVE-2015-4165Wysokie
API migawki w Elasticsearch przed wersją 1.6.0 jest podatne na atak, gdy na systemie istnieje inna aplikacja, która może odczytywać pliki Lucene i wykonywać kod z nich. Umożliwia to zdalnym uwierzytelnionym użytkownikom pisanie i tworzenie dowolnych plików metadanych migawki oraz potencjalne wykonywanie dowolnego kodu.
- CVE-2026-103009Wysokie
Elasticsearch zawiera podatność polegającą na obejściu autoryzacji w modelu Remote Cluster Security (RCS) 2.0. Atakujący z ważnym kluczem API może wysłać specjalnie spreparowane żądanie cross-cluster search, które autoryzuje dostęp do jednego indeksu, ale faktycznie operuje na innym, nieautoryzowanym indeksie, ujawniając jego dane.
- CVE-2026-103008Średnie
Podatność typu niekontrolowana rekurencja (CWE-674) w Elasticsearch może prowadzić do odmowy usługi poprzez specjalnie spreparowane żądanie powodujące przetwarzanie głęboko zagnieżdżonej struktury danych bez ograniczenia głębokości rekurencji. Elasticsearch ma tę słabość w budowaniu i serializacji wartości geometrii tworzonych przez skryptowe pola runtime. Uwierzytelniony użytkownik z dostępem do odczytu jednego indeksu może wysłać żądanie definiujące takie pole ze skryptem tworzącym głęboko zagnieżdżoną strukturę, co powoduje przekroczenie stosu i zakończenie działania węzła. Węzeł nie zawsze odzyskuje sprawność automatycznie i może wymagać ręcznej interwencji.
- CVE-2026-103006Średnie
Podatność typu niekontrolowana rekurencja (CWE-674) w Elasticsearch może prowadzić do odmowy usługi poprzez specjalnie spreparowane, głęboko zagnieżdżone żądanie wysłane do funkcji agregacji API wyszukiwania. Elasticsearch ma tę słabość w przetwarzaniu agregacji wyszukiwania. Uwierzytelniony użytkownik z dostępem do odczytu jednego indeksu może wysłać spreparowane żądanie z głęboko zagnieżdżonymi definicjami agregacji, co wyczerpuje zasoby procesu serwera i powoduje zakończenie działania węzła. Węzeł nie odzyskuje sprawności automatycznie i wymaga ręcznej interwencji.
- CVE-2026-103005Średnie
Podatność typu alokacja pamięci z nadmierną wartością rozmiaru (CWE-789) w Elasticsearch może prowadzić do odmowy usługi poprzez nadmierną alokację (CAPEC-130). Uwierzytelniony użytkownik z uprawnieniami do zarządzania konektorami może spowodować, że klaster przydzieli niekontrolowaną ilość pamięci, gdy tworzone są zasoby konektorów z nadmiernie dużym polem `description`, a następnie są one dostępne, co wyczerpuje dostępną pamięć sterty i powoduje awarię węzła.
- CVE-2026-102411Średnie
Elasticsearch nie ogranicza całkowitej pamięci używanej przy pobieraniu wielu szablonów indeksów, mimo limitów dla pojedynczych zasobów. Użytkownik z uprawnieniem manage_index_templates może zarejestrować wiele szablonów, a ich jednoczesne pobranie powoduje wyczerpanie pamięci i awarię węzła. Prowadzi to do odmowy usługi.
- CVE-2026-102409Średnie
Nieograniczona rekurencja w Elasticsearch pozwala uwierzytelnionemu użytkownikowi z niskimi uprawnieniami na zakończenie działania węzła Elasticsearch, powodując odmowę usługi. Podatność jest związana z nadmierną alokacją zasobów.
- CVE-2026-102408Średnie
Nieskuteczna złożoność wyrażeń regularnych w Elasticsearch w funkcji ES|QL CHUNK umożliwia odmowę usługi przez katastrofalne cofanie się. Użytkownik z dostępem do odczytu do indeksu tekstowego może przesłać specjalnie spreparowane wyrażenie regularne, które powoduje nadmierne zużycie CPU i degradację wydajności zapytań dla innych dzierżawców.
- CVE-2026-102407Średnie
Nieprawidłowa autoryzacja w Elasticsearch umożliwia uwierzytelnionemu użytkownikowi z uprawnieniami do pojedynczego zasobu modyfikację strumienia danych, do którego nie ma autoryzacji. Może to pozwolić na wstrzyknięcie danych lub zakłócenie wyszukiwania, ale nie umożliwia odczytu zawartości strumienia.
- CVE-2026-102404Średnie
Nieograniczone zużycie zasobów w Elasticsearch umożliwia niskouprzywilejowanemu użytkownikowi wywołanie awarii węzła przez specjalnie spreparowane zapytanie, które powoduje niekontrolowany wzrost pamięci. Warunek może być wywoływany wielokrotnie, w tym przez zapytania osadzone w współdzielonych zasobach, prowadząc do trwałej niedostępności klastra.
Oryginalny opis (angielski, źródło NVD)
Incorrect Authorization (CWE-863) in Elasticsearch can lead to Privilege Escalation via a delegated administrative privilege whose scope is not fully enforced during authorization checks. Elasticsearch contains an incorrect authorization weakness in a configurable, non-default privilege that lets an administrator delegate limited role-management capability to another user, scoped to specific indices. The authorization check that enforces this scoping does not correctly account for a role-definition setting that can expand the matched index set. A user holding this delegated privilege with a broadly-scoped index pattern can exploit this inconsistency by updating their own assigned role to gain access to indices that should remain restricted, including internal security data. This can enable further escalation up to full administrative control of the cluster.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS