PT-2021-4651 · Elastic · Enterprise Search App Search
CVE-2021-22149
·
Publicado
2021-08-03
·
Atualizado
2022-10-25
CVSS v2.0
9.0
Alta
| Vetor | AV:N/AC:L/Au:S/C:C/I:C/A:C |
Nome do software vulnerável e versões afetadas
Versões do Elastic Enterprise Search App Search anteriores à 7.14.0
Descrição
O problema está relacionado à falta de autorização para chaves de API por meio de uma rota alternativa. Um invasor autenticado poderia explorar essa falha para utilizar chaves de API pertencentes a usuários com privilégios superiores, o que poderia levar à escalada de privilégios. A vulnerabilidade está associada à atribuição incorreta de permissões para chaves de API.
Recomendações
Para versões do Elastic Enterprise Search App Search anteriores à 7.14.0, atualize para a versão 7.14.0 ou posterior para resolver o problema. Como solução temporária, considere restringir o acesso às chaves de API e limitar os privilégios associados a elas até que um patch seja aplicado. Evite usar chaves de API pertencentes a usuários com privilégios mais elevados nas versões afetadas.
Correção
Incorrect Permission
Missing Authorization
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Identificadores relacionados
Produtos afetados
Enterprise Search App Search