Podatności Elasticsearch

Niewłaściwe uwierzytelnianie w mechanizmie PKI w Elasticsearch może umożliwić podszywanie się pod użytkownika za pomocą specjalnie spreparowanych certyfikatów klienckich. Atakujący musi posiadać taki certyfikat podpisany przez zaufany urząd certyfikacji.

W Elasticsearch występuje wstawianie poufnych informacji do pliku dziennika podczas audytowania żądań do API reindex. W określonych warunkach wstępnych może to prowadzić do utraty poufności danych.