CVE-2019-7611
Təsvir
Field Level Security və Document Level Security deaktiv edildikdə və _aliases, _shrink və ya _split son nöqtələrindən istifadə olunduqda, Elasticsearch-in 5.6.15 və 6.6.1 versiyalarından əvvəlki versiyalarında icazələrlə bağlı problem aşkar edilmişdir. Əgər elasticsearch.yml faylında xpack.security.dls_fls.enabled parametri false olaraq təyin edilibsə, mövcud məlumatları yeni indeks/alias adı altında əlçatan etmək üçün istifadəçilər yuxarıda qeyd olunan hərəkətlərdən birini yerinə yetirdikdə müəyyən icazə yoxlamaları ötürülür. Bu, hücumçunun məhdudlaşdırılmış indeks üzərində əlavə icazələr əldə etməsinə səbəb ola bilər.
Necə düzəltmək olar
- elastic elasticsearch5.6.15, 6.6.1 və ya daha yeni versiya
- org.elasticsearch:elasticsearch5.6.15, 6.6.1 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| elastic elasticsearch | v < 5.6.15, 6.0.0 ≤ v < 6.6.1 | 5.6.15, 6.6.1 |
| org.elasticsearch:elasticsearchMaven | v < 5.6.15, 6.0.0 ≤ v < 6.6.1 | 5.6.15, 6.6.1 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.