CVE-2026-72645
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 21 - wyżej niż 21% wszystkich znanych CVE
Streszczenie
Podatność w Elasticsearch pozwala uwierzytelnionemu użytkownikowi z uprawnieniami tylko do odczytu na pojedynczym indeksie na wysłanie jednego małego, specjalnie spreparowanego żądania wyszukiwania, które powoduje nadmierną alokację pamięci, wyczerpując stertę JVM i kończąc działanie węzła.
Ocena ryzyka
Atak prowadzi do odmowy usługi (DoS) na dotkniętym węźle, co może zakłócić działanie całego klastra Elasticsearch i wpłynąć na dostępność usług.
Rekomendacja
Zastosuj aktualizację Elasticsearch do wersji zawierającej poprawkę oraz ogranicz uprawnienia użytkowników do minimum niezbędnego do pracy.
Oryginalny opis (angielski, źródło NVD)
Memory Allocation with Excessive Size Value (CWE-789) in Elasticsearch can lead to denial of service via Excessive Allocation (CAPEC-130). An authenticated user holding only read privileges on a single index can submit one small, specially crafted search request that causes an excessively large memory allocation, exhausting the JVM heap and terminating the affected node.