CERTFR-2024-AVI-0257 : Multiples vulnérabilités dans Elasticsearch (28 mars 2024)

Risque(s)

• Déni de service à distance
• Atteinte à la confidentialité des données

Systèmes affectés

• Elasticsearch versions 7.x antérieures à 7.17.19
• Elasticsearch versions 8.x antérieures à 8.13.0

Résumé

De multiples vulnérabilités ont été découvertes dans Elasticsearch. Elles permettent à un attaquant de provoquer un déni de service à distance et une atteinte à la confidentialité des données.

Solution

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).

Documentation

• Bulletin de sécurité Elasticsearch security-update-esa-2024-06 du 27 mars 2024
  https://discuss.elastic.co/t/elasticsearch-8-13-0-7-17-19-security-update-esa-2024-06/356314
• Bulletin de sécurité Elasticsearch security-update-esa-2024-07 du 27 mars 2024
  https://discuss.elastic.co/t/elasticsearch-8-13-0-security-update-esa-2024-07/356315
• Référence CVE CVE-2024-23450
  https://www.cve.org/CVERecord?id=CVE-2024-23450
• Référence CVE CVE-2024-23451
  https://www.cve.org/CVERecord?id=CVE-2024-23451