Запрос без учётных данных останавливает узел Elasticsearch

Очередной пакет исправлений Elastic закрывает несколько уязвимостей в продуктах компании. Остановить узел Elasticsearch можно одиночным сетевым запросом. Учётные данные при этом не нужны. Затронуты Elasticsearch, Kibana, APM Server, Logstash, Packetbeat и образы Docker.

CVE-2026-115290: рекурсия в Elasticsearch роняет узлы

Уведомления о безопасности Elastic вышли 3 ноября 2026 года. Их номера идут от 391355 до 391375. При этом обновление затронуло сразу несколько поддерживаемых веток продуктов. Признаков эксплуатации в реальных атаках пока нет. Однако детали уязвимостей уже раскрыты публично.

Речь идёт об уязвимости в интерфейсе удалённого кластера. Атакующий без учётных данных отправляет узлу запрос с глубоко вложенными сериализованными данными. Ограничений на глубину разбора нет, поэтому узел завершает работу. Если повторить запрос, из строя выйдет каждый доступный узел. Оценка по CVSS 3.1, шкале серьёзности уязвимостей, - 7.5.

Kibana раскрывает чужие журналы и удаляет пространства

В Kibana обнаружили сразу несколько уязвимостей с разграничением доступа. Аутентифицированный пользователь с правом чтения в одном пространстве видит журналы коннекторов из других пространств. Коннектор - это связка Kibana с внешней системой. Кроме того, похожий обход прав раскрывает сообщения об ошибках заданий машинного обучения. Утечка затрагивает имена коннекторов, статусы запусков, метки времени и тексты ошибок.

Отдельная уязвимость касается служебной учётной записи. Логин и пароль могут быть вписаны прямо в адрес узла Elasticsearch. Тогда пользователь с правом подключения источников Observability получит их. В результате он обратится к Elasticsearch с правами сервисной учётной записи Kibana.

Ещё одна уязвимость в Kibana связана с обходом путей. Так называют выход за пределы разрешённой папки. Пользователь с низкими правами на политики Fleet заставляет администратора запустить действие, которое уничтожит чужие ресурсы. Из-за этого можно потерять пространства Kibana и другие активы организации. При этом эксплуатация требует, чтобы администратор открыл затронутый интерфейс Fleet.

Пострадали и средства сбора данных. APM Server может отдать агенту центральную конфигурацию чужой службы, включая настройки сэмплирования. Кроме того, поток данных OpenTelemetry, или OTLP, с низкими привилегиями переполняет его память. Packetbeat падает от одного пакета AMQP в отслеживаемом сегменте сети. Пока процесс не перезапустят, телеметрия не собирается.

В Elasticsearch есть уязвимости и на уровне полей. Правило не применяется к типу поля constant_keyword. Его значение удаётся прочитать в обход ограничения. Из-за общего кеша запросов пользователь с урезанными правами узнаёт, какие документы совпали с запрещённым значением. Кроме того, из-за этого пользователь с полным доступом получает неполные результаты поиска.

Docker-образы Elastic доверяют лишним корневым сертификатам

Образы Docker для продуктов Elastic доверяют набору корневых сертификатов с лишними центрами. В набор входят корневые центры, подписавшие восемь промежуточных сертификатов eMudhra с украденными ключами. При этом владелец такого ключа выпускает сертификат для любого имени хоста. Продукт примет его как доверенный.

Атакующий в сети между продуктом и сервером перехватит или изменит трафик TLS. TLS - это протокол шифрования соединений. Зато учётные данные не нужны, хотя сложность атаки высокая. Те же ключи eMudhra затронули пакет ca-certificates в Red Hat Enterprise Linux и OpenShift. Поэтому там корневые сертификаты убрали из набора доверенных.

Исправления вышли в трёх ветках

Исправления вышли одновременно в ветках 8.19.24, 9.4.9 и 9.5.6. Обновиться нужно всем, кто держит продукты Elastic на старых сборках. Обходные меры в записях не приводятся. Поэтому установка новой версии остаётся единственным путём. Проверить стоит и образы Docker, и Maps Server, и агенты.

Кроме продуктов Elastic, в перечне CVE оказались чужие записи. Библиотека Brotli от Google получает 9.2 из-за переполнения буфера в декодере. Из-за неё можно испортить память, раскрыть данные или выполнить код. Запись внесена в каталог CISA KEV. Туда попадают уязвимости с подтверждённой эксплуатацией.

Уязвимость в компоненте JSSE Oracle Java SE получает 9.1. Хотя исправленная версия в записи не указана, атака идёт по сети. Учётные данные ей не нужны. Затронуты несколько сборок Java SE и GraalVM.

CVE-2026-115290: рекурсия в Elasticsearch роняет узлы

Kibana раскрывает чужие журналы и удаляет пространства

Docker-образы Elastic доверяют лишним корневым сертификатам

Исправления вышли в трёх ветках

Ссылки