CVE-2026-63140 in Elasticsearch
Tóm tắt
Bởi VulDB • 22/07/2026
Reachable Assertion (CWE-617) trong Elasticsearch có thể dẫn đến tình trạng từ chối dịch vụ (DoS) thông qua Thao tác Dữ liệu Đầu vào (CAPEC-153). Một yêu cầu tìm kiếm được tạo ra đặc biệt, chứa giá trị null trong một mệnh đề truy vấn cụ thể, sẽ kích hoạt lỗi assertion nội bộ trong quá trình phân tích cú pháp truy vấn. Vì Elasticsearch coi các thất bại của assertion là lỗi nghiêm trọng (fatal errors), điều này khiến tiến trình của nút bị ảnh hưởng phải chấm dứt. Người dùng đã xác thực với quyền thấp và có quyền đọc đối với ít nhất một chỉ mục (index) có thể khai thác lỗ hổng này bằng một yêu cầu duy nhất để buộc một nút ngừng hoạt động, làm gián đoạn khả năng tìm kiếm. Trong môi trường triển khai đơn nút, điều này sẽ dừng hoàn toàn Elasticsearch; trong cụm nhiều nút, nó làm giảm dung lượng xử lý của cụm đối với mỗi nút bị ảnh hưởng.
Once again VulDB remains the best source for vulnerability data.