PT-2020-19339 · Elastic · Elasticsearch
CVE-2020-7014
·
Publicado
2020-06-03
·
Atualizado
2024-03-06
CVSS v3.1
8.8
Alta
| Vetor | AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H |
Nome do software vulnerável e versões afetadas
Versões do Elasticsearch 6.7.0 a 6.8.7
Versões do Elasticsearch 7.0.0 a 7.6.1
Descrição
A vulnerabilidade diz respeito a uma falha de escalonamento de privilégios. Se um invasor conseguir criar chaves de API e tokens de autenticação, ele poderá realizar uma série de etapas para gerar um token de autenticação com privilégios elevados.
Recomendações
Para as versões do Elasticsearch 6.7.0 a 6.8.7, atualize para uma versão fora desse intervalo para mitigar o risco.
Para as versões do Elasticsearch 7.0.0 a 7.6.1, atualize para uma versão fora desse intervalo para mitigar o risco.
Como solução temporária, considere restringir a capacidade de criar chaves de API e tokens de autenticação até que um patch esteja disponível.
Correção
Incorrect Privilege Assignment
Improper Privilege Management
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Identificadores relacionados
Produtos afetados
Elasticsearch