8.1
CVSS 3.1
Няма данни
Вероятност да бъде експлоатирана в следващите 30 дни (EPSS)
Да
Атакува се
в каталога KEV от 25 март 2022
Атакува се в момента
2797 дни
Време до експлоатация
след публикуването
Атакува се по мрежата, без особени условия, с обикновен потребителски вход и без действие от потребителя.
- Експлоатация: активно се експлоатира
- Атаката не може да се автоматизира
Описание
Оригинално описание
The default configuration in Elasticsearch before 1.2 enables dynamic scripting, which allows remote attackers to execute arbitrary MVEL expressions and Java code via the source parameter to _search. NOTE: this only violates the vendor's intended security policy if the user does not run Elasticsearch in its own independent virtual machine.
Засегнати продукти
- n/a n/a: n/a
Вид слабост
История
- 28 юли 2014 Публикувано
Първоизточници
- https://www.cve.org/CVERecord?id=CVE-2014-3120
- https://nvd.nist.gov/vuln/detail/CVE-2014-3120
- https://www.elastic.co/blog/logstash-1-4-3-released
- http://www.exploit-db.com/exploits/33370
- http://www.securityfocus.com/bid/67731
- http://www.osvdb.org/106949
- http://bouk.co/blog/elasticsearch-rce/
- http://www.rapid7.com/db/modules/exploit/multi/elasticsearch/script_mvel_rce
- https://www.found.no/foundation/elasticsearch-security/#staying-safe-while-developing-with-elasticsearch
- https://www.elastic.co/community/security/
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2014-3120