В чём проблема
Elasticsearch включает динамическое создание скриптов. Это позволяет удаленным злоумышленникам выполнять произвольные выражения MVEL и код Java.
Кого это затрагивает
Эта уязвимость затрагивает версии Elasticsearch до 1.2.0.
Что делать
Обновитесь до версии Elasticsearch 1.2.0 или примените обновления в соответствии с инструкциями производителя.
Исходное описание
The default configuration in Elasticsearch before 1.2 enables dynamic scripting, which allows remote attackers to execute arbitrary MVEL expressions and Java code via the source parameter to _search. NOTE: this only violates the vendor's intended security policy if the user does not run Elasticsearch in its own independent virtual machine.
Известная эксплуатация (CISA KEV)
- Добавлено в KEV
- 2022-03-25
- Срок устранения (федеральные ведомства США)
- 2022-04-15
- Использование программами-вымогателями
- Unknown
- Требуемые меры
- Apply updates per vendor instructions.
Затронутое ПО
- Elasticsearch < 1.2.0 Исправлено в: 1.2.0 точное совпадение
Подробности
- Опубликовано
- 2014-07-29
- Последнее изменение
- 2025-10-22
- Вектор CVSS
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:N- EPSS (вероятность эксплуатации в течение 30 дней)
- 88.56% (перцентиль 100)
Ссылки
- cve.org/CVE-2014-3120
- nvd.nist.gov/vuln/detail/CVE-2014-3120
- www.elastic.co/blog/logstash-1-4-3-released
- www.exploit-db.com/exploits/33370
- www.securityfocus.com/bid/67731
- www.osvdb.org/106949
- bouk.co/blog/elasticsearch-rce/
- www.rapid7.com/db/modules/exploit/multi/elasticsearch/script_mvel_rce
- www.found.no/foundation/elasticsearch-security/#staying-safe-while-developing-with-elastic...
- www.elastic.co/community/security/
Отслеживайте эти версии на своих серверах
InfraGuard собирает версии установленного ПО со всех серверов и отмечает версии с известными уязвимостями. Self-hosted — данные не покидают вашу сеть.
Этот продукт использует данные NVD API, но не одобрен и не сертифицирован NVD. CVE® — зарегистрированный товарный знак The MITRE Corporation; записи CVE используются в соответствии с Условиями использования CVE Program.