CVE-2026-72679
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 21 - wyżej niż 21% wszystkich znanych CVE
Streszczenie
Elasticsearch nie stosuje konfigurowalnego ograniczenia długości wejścia do wzorca dostarczonego przez użytkownika, akceptowanego przez zapytanie intervals. Kompilacja głęboko zagnieżdżonego wzorca prowadzi do nieograniczonej rekurencji, która wyczerpuje stos wątku i podnosi błąd krytyczny, kończąc proces węzła Elasticsearch i powodując denial of service dla tego węzła. Uwierzytelniony użytkownik posiadający tylko uprawnienia do odczytu na pojedynczym indeksie z możliwością wyszukiwania może wywołać ten warunek jednym małym żądaniem wyszukiwania.
Ocena ryzyka
Ryzyko awarii węzła Elasticsearch i przerwania dostępności usług.
Rekomendacja
Zaleca się aktualizację Elasticsearch do wersji z poprawką oraz wdrożenie ograniczeń długości wzorców w zapytaniach intervals.
Oryginalny opis (angielski, źródło NVD)
Elasticsearch does not apply its configurable input length restriction to a user-supplied pattern accepted by an intervals query. Compiling a deeply nested pattern drives unbounded recursion that exhausts the thread stack and raises a fatal error, terminating the Elasticsearch node process and causing a denial of service for that node. An authenticated user holding only read-only privileges on a single searchable index can trigger the condition with one small search request.