CVE-2026-102408
Açıklama
Elasticsearch üzerindeki Verimsiz Düzenli İfade Karmaşıklığı (CWE-1333), Düzenli İfade Üssel Patlaması (CAPEC-492) aracılığıyla hizmet reddine yol açabilir. ES|QL CHUNK fonksiyonunun özyinelemeli parçalama stratejisi, hesaplama karmaşıklıklarını doğrulamadan veya yürütme sürelerini sınırlandırmadan, metin bölücü ayırıcılar olarak kullanılan kullanıcı tarafından sağlanan düzenli ifadeler listesini kabul eder. Herhangi bir metin tabanlı dizine okuma erişimi olan kimliği doğrulanmış bir kullanıcı, katastrofik geri izleme (catastrophic backtracking) tetikleyen özel olarak hazırlanmış bir düzenli ifade göndererek Elasticsearch çalışan iş parçacıkları üzerinde aşırı CPU tüketebilir ve etkilenen düğümdeki diğer kiracılar için sorgu işlem hacmini düşürebilir. Küme, bu sorun sonucunda çökmez.
Nasıl düzeltilir
- elastic elasticsearch8.19.22, 9.4.8, 9.5.5 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| elastic elasticsearch | 8.19.0 ≤ v < 8.19.22, 9.1.0 ≤ v < 9.4.8, 9.5.0 ≤ v < 9.5.5 | 8.19.22, 9.4.8, 9.5.5 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.