PT-2025-51212 · Elastic · Elasticsearch

Ikakavas + 1 · CVE-2025-37731 · Publicado 2025-12-15 · Atualizado 2026-06-17

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.4

Alta

Vetor base

AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:N

Nome do Software Vulnerável e Versões Afetadas Elasticsearch (versões afetadas não especificadas)

Descrição Existe uma falha no processo de autenticação do realm PKI no Elasticsearch. Esta falha permite que um ator malicioso personifique usuários ao apresentar um certificado de cliente especialmente criado, assinado por uma Autoridade Certificadora confiável. A exploração bem-sucedida requer que o invasor possua tal certificado.

Recomendações Até o momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

Exploit

Improper Authentication

Improper Certificate Validation

Enumeração de Fraquezas

CWE-287

CWE-295

Identificadores relacionados

BIT-ELASTICSEARCH-2025-37731

CVE-2025-37731

GHSA-M9GH-789G-Q5PV

Produtos afetados

Elasticsearch

Referências · 14

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2025/37xxx/CVE-2025-37731.json · Exploit
• https://github.com/elastic/elasticsearch · Nota
• https://github.com/elastic/elasticsearch/commit/cd97b8566bf56e628070021300784cb9cee0286f · Nota
• https://github.com/elastic/elasticsearch/commit/e519fe4c51a3c887675eb7daea2f914738847f23 · Nota
• https://github.com/elastic/elasticsearch/commit/d8a408da79f214395845d99d241e832077045983 · Nota
• https://t.me/CVEtracker/39821 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2025-37731 · Aviso do Fabricante
• https://discuss.elastic.co/t/elasticsearch-8-19-8-9-1-8-and-9-2-2-security-update-esa-2025-27/384063 · Aviso do Fabricante
• https://t.me/msrcreports/2592 · Publicação no Telegram
• https://twitter.com/CVEnew/status/2000611211931779142 · Publicação no Twitter
• https://t.me/cveNotify/146145 · Publicação no Telegram
• https://osv.dev/vulnerability/GHSA-m9gh-789g-q5pv · Aviso do Fabricante
• https://osv.dev/vulnerability/ROOT-APP-MAVEN-CVE-2025-37731 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2025-37731 · Nota de Segurança