PT-2025-51212 · Elastic · Elasticsearch

Ikakavas + 1 · Publicado 2025-12-15 · Atualizado 2026-04-28 · CVE-2025-37731

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.4

Alta

Vetor base

AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:N

Nome do Software Vulnerável e Versões Afetadas Elasticsearch (versões afetadas não especificadas)

Descrição Existe uma falha no processo de autenticação do realm PKI no Elasticsearch. Esta falha permite que um ator malicioso personifique usuários ao apresentar um certificado de cliente especialmente criado, assinado por uma Autoridade Certificadora confiável. A exploração bem-sucedida requer que o invasor possua tal certificado.

Recomendações Até o momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

Improper Certificate Validation

Improper Authentication

Enumeração de Fraquezas

CWE-295

CWE-287

Identificadores relacionados

BIT-ELASTICSEARCH-2025-37731

CVE-2025-37731

GHSA-M9GH-789G-Q5PV

Produtos afetados

Elasticsearch

Referências · 13

• https://github.com/elastic/elasticsearch · Nota
• https://github.com/elastic/elasticsearch/commit/d8a408da79f214395845d99d241e832077045983 · Nota
• https://github.com/elastic/elasticsearch/commit/e519fe4c51a3c887675eb7daea2f914738847f23 · Nota
• https://github.com/elastic/elasticsearch/commit/cd97b8566bf56e628070021300784cb9cee0286f · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2025-37731 · Nota de Segurança
• https://discuss.elastic.co/t/elasticsearch-8-19-8-9-1-8-and-9-2-2-security-update-esa-2025-27/384063 · Aviso do Fabricante
• https://t.me/cveNotify/146145 · Publicação no Telegram
• https://osv.dev/vulnerability/GHSA-m9gh-789g-q5pv · Aviso do Fabricante
• https://twitter.com/CVEnew/status/2000611211931779142 · Publicação no Twitter
• https://osv.dev/vulnerability/ROOT-APP-MAVEN-CVE-2025-37731 · Aviso do Fabricante
• https://osv.dev/vulnerability/CVE-2025-37731 · Aviso do Fabricante
• https://t.me/msrcreports/2592 · Publicação no Telegram
• https://t.me/CVEtracker/39821 · Publicação no Telegram