PT-2021-14870 · Elastic · Elasticsearch

Lucas Drufva · Publicado 2021-07-21 · Atualizado 2025-07-08 · CVE-2021-22145

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.5

Média

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N

**Nome do software vulnerável e versões afetadas:

Versões do Elasticsearch de 7.10.0 a 7.13.3

Descrição:

Foi identificada uma falha de divulgação de memória no sistema de relatório de erros, permitindo que um usuário capaz de enviar consultas arbitrárias possa, potencialmente, obter informações confidenciais — incluindo documentos do Elasticsearch ou detalhes de autenticação — ao enviar uma consulta malformada que resulte em uma mensagem de erro contendo partes de um buffer de dados utilizadas anteriormente.

Recomendações:

Para as versões 7.10.0 a 7.13.3 do Elasticsearch, atualize para uma versão que contenha uma correção para este problema, a fim de evitar uma possível exploração.

Exploit

Correção

Information Disclosure

Generation of Error Message Containing Sensitive Information

Enumeração de Fraquezas

CWE-200

CWE-209

Identificadores relacionados

BIT-ELASTICSEARCH-2021-22145

CVE-2021-22145

GHSA-Q394-H7F5-7F44

GHSA-WF8F-6423-GFXG

Produtos afetados

Elasticsearch

Referências · 24

• 🔥 https://github.com/rapid7/metasploit-framework/blob/master/modules/auxiliary/scanner/http/elasticsearch_memory_disclosure.rb · Exploit
• 🔥 http://packetstormsecurity.com/files/163648/ElasticSearch-7.13.3-Memory-Disclosure.html · Exploit
• 🔥 https://exploit-db.com/exploits/50149 · Exploit
• https://github.com/elastic/elasticsearch · Nota
• https://github.com/FasterXML/jackson-core · Nota
• https://github.com/FasterXML/jackson-core/security/advisories/GHSA-wf8f-6423-gfxg · Nota
• https://github.com/FasterXML/jackson-core/pull/652 · Nota
• https://github.com/FasterXML/jackson-core/commit/a6c297682737dde13337cb7c3020f299518609a8 · Nota
• https://cve.org/CVERecord?id=CVE-2021-22145 · Nota de Segurança
• https://osv.dev/vulnerability/BIT-elasticsearch-2021-22145 · Aviso do Fabricante
• https://osv.dev/vulnerability/GHSA-q394-h7f5-7f44 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2021-22145 · Nota de Segurança
• https://osv.dev/vulnerability/GHSA-wf8f-6423-gfxg · Aviso do Fabricante
• https://oracle.com/security-alerts/cpuapr2022.html · Correção
• https://t.me/cvenotify/127954 · Publicação no Telegram