Vulnerabilidad en Elasticsearch (CVE-2024-23451)

Gravedad CVSS v3.1:

MEDIA

Tipo:

No Disponible / Otro tipo

Fecha de publicación:

27/03/2024

Última modificación:

04/02/2025

Descripción

Existe un problema de autorización incorrecta en el modelo de seguridad basado en clave API para la seguridad de clúster remoto, que actualmente se encuentra en versión Beta, en Elasticsearch 8.10.0 y antes de 8.13.0. Esto permite que un usuario malintencionado con una clave API válida para un clúster remoto configurado para usar la nueva Seguridad de clúster remoto lea documentos arbitrarios de cualquier índice en el clúster remoto, y solo si utilizan el protocolo de transporte personalizado de Elasticsearch para emitir solicitudes con el ID del índice de destino, el ID del fragmento y el ID del documento. Ninguno de los endpoints de la API REST de Elasticsearch se ve afectado por este problema.

Impacto

Vector 3.x

CVSS:3.1/AV:N/AC:H/PR:H/UI:N/S:U/C:H/I:N/A:N CVSS v3.1 Severidad y Métricas:

Puntuación base: 4.40 MEDIA
Vector: CVSS:3.1/AV:N/AC:H/PR:H/UI:N/S:U/C:H/I:N/A:N

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Alto
Privilegios Requeridos (PR): Alto
Interacción del usuario (UI): Ninguno
Alcance (S): Sin modificar
Impacto a la confidencialidad (C): Alto
Impacto a la integridad (I): Ninguno
Impacto a la disponibilidad (A): Ninguno