CVE-2014-3120
Publicada el · Actualizada el
Aviso por correo cuando entre en el KEV, tenga PoC pública o suba de nota.
Corrige ahora. Ella está bajo explotación confirmada por CISA y tiene exploit funcional público.
Declaraciones oficiales de los fabricantes en formato CSAF/VEX: si su producto está afectado, ya corregido o descartado — y por qué. Es afirmación del fabricante, no juicio de Vexday.
Apply updates per vendor instructions.
Elasticsearch anterior a la versión 1.2 permite a atacantes ejecutar código arbitrario en el servidor a través de solicitudes de búsqueda porque la ejecución dinámica de scripts está habilitada por defecto. Esta es una vulnerabilidad grave si Elasticsearch no está aislado en su propia máquina.
CVE-2014-3120 explota scripting dinámico habilitado en Elasticsearch <1.2, permitiendo ejecución remota de código sin autenticación mediante expresiones MVEL en el parámetro source de la API _search. La explotación requiere acceso de red al servicio; el impacto incluye compromiso completo del sistema. La vulnerabilidad asume que Elasticsearch se ejecuta en entorno compartido sin aislamiento adecuado.
El análisis completo de esta CVE está disponible en portugués →