Elasticsearch Improper Access Control vulnerability

CAO 8.1ĐANG BỊ KHAI THÁC (CISA KEV)CVE-2014-3120 · GHSA-mrfm-jxgf-2h6v · Công bố 28/07/2014 · cập nhật 17/06/2026

Elasticsearch Remote Code Execution Vulnerability. Đang bị khai thác thực tế: CISA đưa lỗ hổng này vào danh mục Known Exploited Vulnerabilities ngày 25/03/2022. Hãy vá các hệ thống bị ảnh hưởng ngay.

Tóm tắt nhanh

CVE-2014-3120 là lỗ hổng mức CAO (CVSS 8.1) ảnh hưởng org.elasticsearch:elasticsearch, elasticsearch (elastic).
Đang bị khai thác thực tế: CISA đưa vào danh mục KEV ngày 25/03/2022.
Xác suất bị khai thác trong 30 ngày tới (EPSS): 88.6%, cao hơn 99.8% các lỗ hổng khác.
Cách xử lý: cập nhật lên 1.4.0.Beta1, 1.2.0 hoặc mới hơn.

Gói / sản phẩm	Phiên bản bị ảnh hưởng	Phiên bản đã vá
org.elasticsearch:elasticsearch Maven	`< 1.4.0.Beta1`	`1.4.0.Beta1`
elasticsearch elastic	`< 1.2.0`	`1.2.0`

Mô tả

The default configuration in Elasticsearch before 1.4.0.Beta1 enables dynamic scripting, which allows remote attackers to execute arbitrary MVEL expressions and Java code via the source parameter to _search. NOTE: this only violates the vendor's intended security policy if the user does not run Elasticsearch in its own independent virtual machine.

Mô tả của NVD

The default configuration in Elasticsearch before 1.2 enables dynamic scripting, which allows remote attackers to execute arbitrary MVEL expressions and Java code via the source parameter to _search. NOTE: this only violates the vendor's intended security policy if the user does not run Elasticsearch in its own independent virtual machine.