CVE-2014-3120
YüksəkAktiv istismar edilir (CISA KEV)
Təsvir
Elasticsearch-in 1.2 versiyasından əvvəlki standart konfiqurasiyası dinamik skriptləri aktivləşdirir ki, bu da uzaqdakı hücumçulara _search funksiyasının source parametri vasitəsilə ixtiyari MVEL ifadələrini və Java kodunu icra etməyə imkan verir. QEYD: istifadəçi Elasticsearch-i müstəqil virtual maşında işlətmirsə, bu yalnız vendorun nəzərdə tutduğu təhlükəsizlik siyasətini pozur.
CiddilikYüksək
CVSS8.1
İstismar ehtimalı—
Məhsul
Elasticsearch
Dərc28 iyl 2014
İlk görülmə28 iyl 2014
KEV-ə əlavə25 mar 2022
Zəiflik növüCWE-284Yanlış giriş nəzarəti
Necə düzəltmək olar
CISA-nın tələb etdiyi tədbir
İstehsalçının dərc etdiyi yeniləmələri tətbiq edin.
CISA son tarixi: 15 apr 2022Yeniləyin
- elastic elasticsearch1.2.0 və ya daha yeni versiya
- org.elasticsearch:elasticsearch1.4.0.Beta1 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| elastic elasticsearch | v < 1.2.0 | 1.2.0 |
| org.elasticsearch:elasticsearchMaven | v < 1.4.0.Beta1 | 1.4.0.Beta1 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Intelligence 360 paketində
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.