CVE-2026-72678
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 21 - wyżej niż 21% wszystkich znanych CVE
Streszczenie
Elasticsearch nie sprawdza wartości rozmiaru pochodzącej z danych użytkownika przed użyciem jej do rezerwacji pamięci dla wewnętrznej struktury danych. Uwierzytelniony użytkownik z uprawnieniami tylko do odczytu może wysłać jeden mały, spreparowany request do API, co powoduje próbę nadmiernie dużej alokacji. Wyczerpanie pamięci prowadzi do błędu krytycznego i zatrzymania procesu węzła Elasticsearch, powodując denial of service dla danego węzła i pogorszenie kondycji klastra.
Ocena ryzyka
Pojedynczy request może wyłączyć węzeł Elasticsearch, co prowadzi do niedostępności usług i degradacji całego klastra. Atak nie wymaga dużego ruchu, więc jest łatwy do przeprowadzenia.
Rekomendacja
Zastosuj aktualizację Elasticsearch do wersji zawierającej poprawkę. Ogranicz dostęp do API tylko dla zaufanych użytkowników i monitoruj alokacje pamięci.
Oryginalny opis (angielski, źródło NVD)
Elasticsearch does not validate a size value taken from a user-supplied input before that value is used to reserve memory for an internal data structure. An authenticated user holding only read privileges can submit a single small crafted request to a product API endpoint that causes the node to attempt an excessively large allocation. The resulting memory exhaustion raises a fatal error that terminates the Elasticsearch node process, causing a denial of service for the affected node and degrading cluster health. The defect is not volumetric, so a single request is sufficient regardless of the heap size configured on the target node.