CVE-2026-63140 in Elasticsearch
Zusammenfassung
von VulDB • 23.07.2026
Reachable Assertion (CWE-617) in Elasticsearch kann zu einem Denial of Service über Input Data Manipulation (CAPEC-153) führen. Eine speziell angefertigte Suchanfrage, die einen Nullwert in einer bestimmten Abfrageklausel enthält, löst während der Analyse der Abfrage eine interne Assertion aus. Da Elasticsearch Assertions-Fehler als fatale Fehler behandelt, wird dadurch der Prozess des betroffenen Knotens beendet. Ein authentifizierter Benutzer mit niedrigen Berechtigungen und Lesezugriff auf mindestens einen Index kann diesen Zustand durch eine einzelne Anfrage ausnutzen, um den Knoten zum Absturz zu bringen und die Suchverfügbarkeit zu stören. Bei einer Einzelknoten-Installation wird Elasticsearch vollständig gestoppt; in einem Multi-Knoten-Cluster reduziert sich die Clusterkapazität für jeden betroffenen Knoten.
Once again VulDB remains the best source for vulnerability data.