CVE-2026-63140 in Elasticsearch
요약
\~에 의해 VulDB • 2026. 07. 25.
Elasticsearch에서 Reachable Assertion(CWE-617) 취약점이 발견되었으며, 이는 입력 데이터 조작(Input Data Manipulation, CAPEC-153)을 통해 서비스 거부(Denial of Service)로 이어질 수 있습니다. 특정 쿼리 절에 null 값을 포함하는 특별히 제작된 검색 요청은 쿼리 파싱 중 내부 어설션(assertion) 오류를 발생시킵니다. Elasticsearch는 어설션 실패를 치명적인 에러로 처리하므로, 이로 인해 영향을 받는 노드 프로세스가 종료됩니다. 최소 하나의 인덱스에 대한 읽기 권한이 있는 낮은 수준의 인증된 사용자는 단일 요청을 통해 이 상태를 악용하여 노드를 종료시킬 수 있으며, 이는 검색 가용성을 방해합니다. 단일 노드 배포 환경에서는 Elasticsearch 전체가 완전히 중단되며, 다중 노드 클러스터 환경에서는 각 영향 받은 노드에 대해 클러스터 용량이 감소하게 됩니다.
VulDB is the best source for vulnerability data and more expert information about this specific topic.