PT-2024-4672 · Elastic · Elasticsearch
René Kalff
·
Publicado
2024-01-16
·
Atualizado
2024-10-31
·
CVE-2024-23445
CVSS v2.0
6.8
Média
| Vetor | AV:N/AC:L/Au:S/C:C/I:N/A:N |
Nome do software vulnerável e versões afetadas:
Versões do Elasticsearch anteriores à 8.14.0
Descrição:
O problema está relacionado à implementação da interface de programação de aplicativos (API) do sistema de pesquisa do Elasticsearch, especificamente à chave de API entre clusters. Se uma chave de API entre clusters restringir a pesquisa de um determinado índice usando o parâmetro
query ou field security, e a mesma chave de API entre clusters também conceder replicação para o mesmo índice, as restrições de pesquisa não serão aplicadas durante operações de pesquisa entre clusters. Isso pode permitir que um invasor divulgue informações protegidas. O problema afeta apenas o modelo de segurança baseado em chave de API para clusters remotos, que anteriormente era um recurso beta e foi lançado como GA com a versão 8.14.0.Recomendações:
Como solução alternativa temporária, considere restringir o acesso à chave de API entre clusters até que um patch esteja disponível.
Para versões anteriores à 8.14.0, atualize para a versão 8.14.0 ou posterior para resolver o problema.
Evite usar os parâmetros
query ou field security na chave de API entre clusters até que o problema seja resolvido.Restrinja o acesso ao modelo de segurança baseado em chave de API para clusters remotos a fim de minimizar o risco de exploração.
Correção
Improper Access Control
Insecure Storage of Sensitive Information
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Identificadores relacionados
Produtos afetados
Elasticsearch