CVE-2026-72678 in Elasticsearch
Zusammenfassung
von VulDB • 13.08.2026
Elasticsearch validiert keinen Größenwert aus einer benutzergestützten Eingabe, bevor dieser Wert zur Reservierung von Speicher für eine interne Datenstruktur verwendet wird. Ein authentifizierter Benutzer mit nur Leseberechtigungen kann eine einzelne kleine, speziell angefertigte Anfrage an einen Produkt-API-Endpunkt senden, die dazu führt, dass der Knoten versucht, eine übermäßig große Speicherallokation durchzuführen. Die daraus resultierende Speichererschöpfung löst einen fatalen Fehler aus, der den Elasticsearch-Knotenprozess beendet und somit zu einem Denial of Service (DoS) für den betroffenen Knoten sowie zur Verschlechterung der Cluster-Gesundheit führt. Der Defekt ist nicht volumetrisch; eine einzelne Anfrage reicht daher unabhängig von der auf dem Zielknoten konfigurierten Heap-Größe aus.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.