PT-2020-19334 · Elastic · Elasticsearch

Publicado 2020-03-31 · Atualizado 2024-03-06 · CVE-2020-7009

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.8

Alta

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

Versões do Elasticsearch 6.7.0 a 6.8.7

Versões do Elasticsearch 7.0.0 a 7.6.1

Descrição

O problema está relacionado a uma falha de escalonamento de privilégios no Elasticsearch. Se um invasor conseguir criar chaves de API, ele poderá realizar uma série de etapas para gerar uma chave de API com privilégios elevados.

Recomendações

Para as versões 6.7.0 a 6.8.7 do Elasticsearch, atualize para a versão 6.8.8 ou posterior para resolver o problema.

Para as versões 7.0.0 a 7.6.1 do Elasticsearch, atualize para a versão 7.6.2 ou posterior para resolver o problema.

Correção

Incorrect Privilege Assignment

Improper Privilege Management

Enumeração de Fraquezas

CWE-266

CWE-269

Identificadores relacionados

BIT-ELASTICSEARCH-2020-7009

CVE-2020-7009

GHSA-GFV5-GRX2-9JW2

Produtos afetados

Elasticsearch

Referências · 12

• https://github.com/elastic/elasticsearch · Nota
• https://discuss.elastic.co/t/elastic-stack-6-8-8-and-7-6-2-security-update/225920 · Aviso do Fabricante
• https://osv.dev/vulnerability/CVE-2020-7009 · Aviso do Fabricante
• https://security.netapp.com/advisory/ntap-20200403-0004 · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2020-7009 · Nota de Segurança
• https://ubuntu.com/security/CVE-2020-7009 · Aviso do Fabricante
• https://elastic.co/community/security · Aviso do Fabricante
• https://osv.dev/vulnerability/UBUNTU-CVE-2020-7009 · Aviso do Fabricante
• https://osv.dev/vulnerability/GHSA-gfv5-grx2-9jw2 · Aviso do Fabricante
• https://cve.org/CVERecord?id=CVE-2020-7009 · Nota de Segurança
• https://osv.dev/vulnerability/BIT-elasticsearch-2020-7009 · Aviso do Fabricante
• https://t.me/cvenotify/4158 · Publicação no Telegram