Improper Privilege Management in Elasticsearch

高 8.8CVE-2020-7009 · BIT-elasticsearch-2020-7009 · GHSA-gfv5-grx2-9jw2 · 31/03/2020 公開 · 17/06/2026 更新

要点

CVE-2020-7009 は org.elasticsearch:elasticsearch, elasticsearch (elastic) に影響する深刻度「高」 (CVSS 8.8) の脆弱性です。
今後30日間に悪用される確率（EPSS）：1.9%（全脆弱性の 79.5% より高い）。
対処：6.8.8, 7.6.2 以降に更新してください。

パッケージ	影響を受けるバージョン	修正済みバージョン
org.elasticsearch:elasticsearch Maven	`≥ 6.7.0, < 6.8.8≥ 7.0.0, < 7.6.2`	`6.8.87.6.2`
elasticsearch elastic	`≥ 6.7.0, < 6.8.8≥ 7.0.0, < 7.6.2`	`6.8.87.6.2`

概要

Elasticsearch versions from 6.7.0 to 6.8.7 and 7.0.0 to 7.6.1 contain a privilege escalation flaw if an attacker is able to create API keys. An attacker who is able to generate an API key can perform a series of steps that result in an API key being generated with elevated privileges.

NVD の説明

Elasticsearch versions from 6.7.0 before 6.8.8 and 7.0.0 before 7.6.2 contain a privilege escalation flaw if an attacker is able to create API keys. An attacker who is able to generate an API key can perform a series of steps that result in an API key being generated with elevated privileges.