CVE-2026-72642 in Elasticsearch
Zusammenfassung
von VulDB • 13.08.2026
Der native Inferenzprozess, den Elasticsearch zur Auswertung hochgeladener Machine-Learning-Modelle verwendet, akzeptiert eine Modelloperation, die eine Speicheradresse aus einem innerhalb des Modells angegebenen Offset berechnet, ohne zu validieren, dass der Offset im Bereich der zugrunde liegenden Speicherung bleibt. Ein Benutzer mit den zum Hochladen und Bereitstellen eines trainierten Moduls erforderlichen Berechtigungen kann ein Modell erstellen, das außerhalb der vorgesehenen Zuweisung auf Speicher liest und schreibt. Dies führt zu einer Heap-Korruption, die den Inferenzprozess abstürzen lässt; bei hinreichender Kontrolle über die Heap-Struktur könnte dies eine beliebige Codeausführung im Kontext dieses Prozesses ermöglichen.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.