CVSS: 5.3EPSS: 0%CPEs: 2EXPL: 0CVE-2019-7619
https://notcve.org/view.php?id=CVE-2019-7619
Elasticsearch versions 7.0.0-7.3.2 and 6.7.0-6.8.3 contain a username disclosure flaw was found in the API Key service. An unauthenticated attacker could send a specially crafted request and determine if a username exists in the Elasticsearch native realm. Elasticsearch versiones 7.0.0 hasta 7.3.2 y versiones 6.7.0 hasta 6.8.3, contienen un fallo de divulgación de nombre de usuario que se encontró en el servicio Key de la API. Un atacante no autenticado podría enviar una petición especialmente diseñada y determinar si un nombre de usuario existe en el reino nativo de Elasticsearch. • https://discuss.elastic.co/t/elastic-stack-6-8-4-security-update/204908 https://discuss.elastic.co/t/elastic-stack-7-4-0-security-update/201831 https://www.elastic.co/community/security • CWE-200: Exposure of Sensitive Information to an Unauthorized Actor •
CVSS: 7.8EPSS: 0%CPEs: 60EXPL: 0CVE-2019-3800 – CF CLI writes the client id and secret to config file
https://notcve.org/view.php?id=CVE-2019-3800
CF CLI version prior to v6.45.0 (bosh release version 1.16.0) writes the client id and secret to its config file when the user authenticates with --client-credentials flag. A local authenticated malicious user with access to the CF CLI config file can act as that client, who is the owner of the leaked credentials. La CLI de CF anterior a versión v6.45.0 (versión de lanzamiento bosh 1.16.0), escribe el id y el secreto del cliente hacia su archivo de configuración cuando el usuario se autentica con el flag --client-credentials. Un usuario malicioso autenticado local con acceso al archivo de configuración de la CLI de CF puede actuar como ese cliente, quien es el propietario de las credenciales filtradas. • https://pivotal.io/security/cve-2019-3800 https://www.cloudfoundry.org/blog/cve-2019-3800 • CWE-200: Exposure of Sensitive Information to an Unauthorized Actor CWE-522: Insufficiently Protected Credentials •
CVSS: 5.9EPSS: 0%CPEs: 2EXPL: 0CVE-2019-7614
https://notcve.org/view.php?id=CVE-2019-7614
A race condition flaw was found in the response headers Elasticsearch versions before 7.2.1 and 6.8.2 returns to a request. On a system with multiple users submitting requests, it could be possible for an attacker to gain access to response header containing sensitive data from another user. Se detectó un fallo de condición de carrera en los encabezados de respuesta que devuelve una petición de Elasticsearch versiones anteriores a 7.2.1 y 6.8.2. Sobre un sistema con múltiples usuarios que envían peticiones, un atacante podría conseguir acceso al encabezado de respuesta que contiene datos confidenciales de otro usuario. • https://www.elastic.co/community/security • CWE-362: Concurrent Execution using Shared Resource with Improper Synchronization ('Race Condition') •
CVSS: 8.1EPSS: 0%CPEs: 2EXPL: 0CVE-2019-7611 – elasticsearch: Improper permission issue when attaching a new name to an index
https://notcve.org/view.php?id=CVE-2019-7611
A permission issue was found in Elasticsearch versions before 5.6.15 and 6.6.1 when Field Level Security and Document Level Security are disabled and the _aliases, _shrink, or _split endpoints are used . If the elasticsearch.yml file has xpack.security.dls_fls.enabled set to false, certain permission checks are skipped when users perform one of the actions mentioned above, to make existing data available under a new index/alias name. This could result in an attacker gaining additional permissions against a restricted index. Se ha encontrado un problema de permiso en versiones anteriores a las 5.6.15 y 6.6.1 de Elasticsearch cuando se encuentran deshabilitados Field Level Security y Document Level Security, y se utilizan los endpoints _aliases, _shrink o _split. Si el archivo elasticsearch.yml tiene la opción xpack.security.dls_fls.enabled configurada en ‘‘false’’, se omiten ciertas comprobaciones de permiso cuando los usuarios ejecutan una de las acciones mencionadas anteriormente, para hacer que los datos existentes sean disponibles bajo un nuevo alias o nombre de índice. • https://discuss.elastic.co/t/elastic-stack-6-6-1-and-5-6-15-security-update/169077 https://www.elastic.co/community/security https://access.redhat.com/security/cve/CVE-2019-7611 https://bugzilla.redhat.com/show_bug.cgi?id=1696034 • CWE-284: Improper Access Control CWE-285: Improper Authorization •
CVSS: 6.5EPSS: 0%CPEs: 1EXPL: 0CVE-2018-17244
https://notcve.org/view.php?id=CVE-2018-17244
Elasticsearch Security versions 6.4.0 to 6.4.2 contain an error in the way request headers are applied to requests when using the Active Directory, LDAP, Native, or File realms. A request may receive headers intended for another request if the same username is being authenticated concurrently; when used with run as, this can result in the request running as the incorrect user. This could allow a user to access information that they should not have access to. Elasticsearch Security, de la versión 6.4.0 a la 6.4.2, contiene un error en la forma en la que se aplican las cabeceras de petición a las peticiones cuando se emplean los realms de Active Directory, LDAP, Native o File. Una petición podría recibir cabeceras destinadas a otra petición si se está autenticando el mismo usuario de forma simultánea; al emplearse con "run as", esto podría resultar en que la petición se ejecute como el usuario incorrecto. • http://www.securityfocus.com/bid/106318 https://discuss.elastic.co/t/elastic-stack-6-4-3-and-5-6-13-security-update/155594 https://www.elastic.co/community/security • CWE-200: Exposure of Sensitive Information to an Unauthorized Actor CWE-362: Concurrent Execution using Shared Resource with Improper Synchronization ('Race Condition') •