PT-2021-14868 · Elastic · App Search

Dominic Couture · Publicado 2021-05-13 · Atualizado 2021-05-21 · CVE-2021-22140

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.5

Alta

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N

**Nome do software vulnerável e versões afetadas:

Versões do Elastic App Search posteriores à 7.11.0 e anteriores à 7.12.0

Descrição:

O problema consiste em uma vulnerabilidade de injeção de entidade externa XML (XXE) no recurso beta do rastreador da web do App Search. Um invasor pode explorar essa vulnerabilidade criando um arquivo sitemap.xml malicioso, o que lhe permite percorrer o sistema de arquivos do host que executa a instância e obter arquivos confidenciais.

Recomendações:

Para as versões do Elastic App Search posteriores à 7.11.0 e anteriores à 7.12.0, considere desativar o recurso beta do rastreador da web do App Search até que uma correção esteja disponível para evitar uma possível exploração.

Correção

XXE

Enumeração de Fraquezas

CWE-611

Identificadores relacionados

CVE-2021-22140

Produtos afetados

App Search

Referências · 3

• https://discuss.elastic.co/t/7-12-1-security-update/271433 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2021-22140 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2021-22140 · Aviso do Fabricante