PT-2021-4651 · Elastic · Enterprise Search App Search

CVE-2021-22149

·

Publicado

2021-08-03

·

Atualizado

2022-10-25

CVSS v2.0

9.0

Alta

VetorAV:N/AC:L/Au:S/C:C/I:C/A:C
Nome do software vulnerável e versões afetadas
Versões do Elastic Enterprise Search App Search anteriores à 7.14.0
Descrição
O problema está relacionado à falta de autorização para chaves de API por meio de uma rota alternativa. Um invasor autenticado poderia explorar essa falha para utilizar chaves de API pertencentes a usuários com privilégios superiores, o que poderia levar à escalada de privilégios. A vulnerabilidade está associada à atribuição incorreta de permissões para chaves de API.
Recomendações
Para versões do Elastic Enterprise Search App Search anteriores à 7.14.0, atualize para a versão 7.14.0 ou posterior para resolver o problema. Como solução temporária, considere restringir o acesso às chaves de API e limitar os privilégios associados a elas até que um patch seja aplicado. Evite usar chaves de API pertencentes a usuários com privilégios mais elevados nas versões afetadas.

Correção

Incorrect Permission

Missing Authorization

Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾

Enumeração de Fraquezas

Identificadores relacionados

BDU:2021-05344
CVE-2021-22149

Produtos afetados

Enterprise Search App Search