Elasticsearch privileged authenticated users can cause DoS through Excessive Resource Allocation

中 4.9CVE-2025-68390 · BIT-elasticsearch-2025-68390 · GHSA-gphj-4h6p-37xq · 18/12/2025 公開 · 17/06/2026 更新

要点

CVE-2025-68390 は org.elasticsearch.plugin:x-pack-core, elasticsearch (elastic) に影響する深刻度「中」 (CVSS 4.9) の脆弱性です。
今後30日間に悪用される確率（EPSS）：0.38%（全脆弱性の 31.8% より高い）。
対処：9.1.8, 9.2.2, 8.19.8 以降に更新してください。

パッケージ	影響を受けるバージョン	修正済みバージョン
org.elasticsearch.plugin:x-pack-core Maven	`≥ 9.0.0, < 9.1.8≥ 9.2.0, < 9.2.2< 8.19.8`	`9.1.89.2.28.19.8`
elasticsearch elastic	`≥ 7.0.0, ≤ 7.17.29≥ 8.0.0, < 8.19.8≥ 9.0.0, < 9.1.8≥ 9.2.0, < 9.2.2`	`8.19.89.1.89.2.2`

概要

Allocation of Resources Without Limits or Throttling (CWE-770) in Elasticsearch can allow an authenticated user with snapshot restore privileges to cause Excessive Allocation (CAPEC-130) of memory and a denial of service (DoS) via crafted HTTP request.

NVD の説明