Quel est le problème
Elasticsearch active le scripting dynamique. Cela permet à des attaquants distants d'exécuter des expressions MVEL et du code Java arbitraires.
Qui est concerné
Cette vulnérabilité affecte les versions d'Elasticsearch antérieures à 1.2.0.
Que faire
Mettez à niveau vers la version 1.2.0 d'Elasticsearch ou appliquez les mises à jour selon les instructions du fournisseur.
Description d’origine
The default configuration in Elasticsearch before 1.2 enables dynamic scripting, which allows remote attackers to execute arbitrary MVEL expressions and Java code via the source parameter to _search. NOTE: this only violates the vendor's intended security policy if the user does not run Elasticsearch in its own independent virtual machine.
Exploitation connue (CISA KEV)
- Ajoutée au KEV
- 2022-03-25
- Échéance de correction (administration fédérale américaine)
- 2022-04-15
- Utilisation par des rançongiciels
- Unknown
- Action requise
- Apply updates per vendor instructions.
Logiciels concernés
- Elasticsearch < 1.2.0 Corrigé dans: 1.2.0 correspondance exacte
Détails
- Publication
- 2014-07-29
- Dernière modification
- 2025-10-22
- Vecteur CVSS
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:N- EPSS (probabilité d’exploitation à 30 jours)
- 88.56% (percentile 100)
Références
- cve.org/CVE-2014-3120
- nvd.nist.gov/vuln/detail/CVE-2014-3120
- www.elastic.co/blog/logstash-1-4-3-released
- www.exploit-db.com/exploits/33370
- www.securityfocus.com/bid/67731
- www.osvdb.org/106949
- bouk.co/blog/elasticsearch-rce/
- www.rapid7.com/db/modules/exploit/multi/elasticsearch/script_mvel_rce
- www.found.no/foundation/elasticsearch-security/#staying-safe-while-developing-with-elastic...
- www.elastic.co/community/security/
Suivez ces versions sur vos propres serveurs
InfraGuard collecte les versions logicielles installées sur chaque serveur et signale celles qui présentent des vulnérabilités connues. Auto-hébergé : rien ne quitte votre réseau.
Ce produit utilise des données de l’API du NVD, mais n’est ni approuvé ni certifié par le NVD. CVE® est une marque déposée de The MITRE Corporation ; les enregistrements CVE sont utilisés conformément aux conditions d’utilisation du CVE Program.