CVSS: 5.9EPSS: 0%CPEs: 2EXPL: 0CVE-2018-17247
https://notcve.org/view.php?id=CVE-2018-17247
Elasticsearch Security versions 6.5.0 and 6.5.1 contain an XXE flaw in Machine Learning's find_file_structure API. If a policy allowing external network access has been added to Elasticsearch's Java Security Manager then an attacker could send a specially crafted request capable of leaking content of local files on the Elasticsearch node. This could allow a user to access information that they should not have access to. Elasticsearch Security, en versiones 6.5.0 y 6.5.1, contiene un error de XEE (XML External Entity) en la API find_file_structure de Machine Learning. Si se ha añadido una política que permite acceso externo a la red al gestor de seguridad Java de Elasticsearch Security, un atacante podría enviar una petición especialmente manipulada capaz de filtrar contenido de archivos locales en el nodo de Elasticsearch. • http://www.securityfocus.com/bid/106294 https://discuss.elastic.co/t/elastic-stack-6-5-2-security-update/159594 https://www.elastic.co/community/security • CWE-611: Improper Restriction of XML External Entity Reference •
CVSS: 6.5EPSS: 0%CPEs: 1EXPL: 0CVE-2018-17244
https://notcve.org/view.php?id=CVE-2018-17244
Elasticsearch Security versions 6.4.0 to 6.4.2 contain an error in the way request headers are applied to requests when using the Active Directory, LDAP, Native, or File realms. A request may receive headers intended for another request if the same username is being authenticated concurrently; when used with run as, this can result in the request running as the incorrect user. This could allow a user to access information that they should not have access to. Elasticsearch Security, de la versión 6.4.0 a la 6.4.2, contiene un error en la forma en la que se aplican las cabeceras de petición a las peticiones cuando se emplean los realms de Active Directory, LDAP, Native o File. Una petición podría recibir cabeceras destinadas a otra petición si se está autenticando el mismo usuario de forma simultánea; al emplearse con "run as", esto podría resultar en que la petición se ejecute como el usuario incorrecto. • http://www.securityfocus.com/bid/106318 https://discuss.elastic.co/t/elastic-stack-6-4-3-and-5-6-13-security-update/155594 https://www.elastic.co/community/security • CWE-200: Exposure of Sensitive Information to an Unauthorized Actor CWE-362: Concurrent Execution using Shared Resource with Improper Synchronization ('Race Condition') •
CVSS: 6.5EPSS: 0%CPEs: 2EXPL: 0CVE-2018-3826
https://notcve.org/view.php?id=CVE-2018-3826
In Elasticsearch versions 6.0.0-beta1 to 6.2.4 a disclosure flaw was found in the _snapshot API. When the access_key and security_key parameters are set using the _snapshot API they can be exposed as plain text by users able to query the _snapshot API. En Elasticsearch desde la versión 6.0.0-beta1 hasta la 6.2.4, se ha detectado una vulnerabilidad de divulgación en la API _snapshot. Cuando los parámetros access_key y security_key están configurados usando la API _snapshot, se pueden exponen como texto plano por los usuarios que sean capaz de lanzar una consulta a la API _snapshot. • https://discuss.elastic.co/t/elastic-stack-6-3-0-and-5-6-10-security-update/135777 https://www.elastic.co/community/security • CWE-200: Exposure of Sensitive Information to an Unauthorized Actor CWE-311: Missing Encryption of Sensitive Data •
CVSS: 5.4EPSS: 0%CPEs: 6EXPL: 0CVE-2018-3823
https://notcve.org/view.php?id=CVE-2018-3823
X-Pack Machine Learning versions before 6.2.4 and 5.6.9 had a cross-site scripting (XSS) vulnerability. Users with manage_ml permissions could create jobs containing malicious data as part of their configuration that could allow the attacker to obtain sensitive information from or perform destructive actions on behalf of other ML users viewing the results of the jobs. X-Pack Machine Learning en versiones anteriores a la 6.2.4 y 5.6.9 tenía una vulnerabilidad Cross-Site Scripting (XSS). Los usuarios con permisos manage_ml podrían crear trabajos que contengan datos maliciosos como parte de su configuración que podrían permitir que el atacante obtenga información sensible o realice acciones destructivas en el nombre de otros usuarios de ML que visualicen los resultados de los trabajos. • https://discuss.elastic.co/t/elastic-stack-6-2-4-and-5-6-9-security-update/128422 https://www.elastic.co/community/security • CWE-79: Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') •
CVSS: 8.8EPSS: 0%CPEs: 2EXPL: 0CVE-2018-3831 – elasticsearch: Information exposure via _cluster/settings API
https://notcve.org/view.php?id=CVE-2018-3831
Elasticsearch Alerting and Monitoring in versions before 6.4.1 or 5.6.12 have an information disclosure issue when secrets are configured via the API. The Elasticsearch _cluster/settings API, when queried, could leak sensitive configuration information such as passwords, tokens, or usernames. This could allow an authenticated Elasticsearch user to improperly view these details. Elasticsearch Alerting and Monitoring en versiones anteriores a la 6.4.1 o 5.6.12 tiene una vulnerabilidad de divulgación de información cuando los secretos se configuran mediante la API. La API Elasticsearch _cluster/settings, cuando se hace una consulta, podría filtrar información de configuración sensible como contraseñas, tokens o nombres de usuario. • https://discuss.elastic.co/t/elastic-stack-6-4-1-and-5-6-12-security-update/149035 https://www.elastic.co/community/security https://access.redhat.com/security/cve/CVE-2018-3831 https://bugzilla.redhat.com/show_bug.cgi?id=1632452 • CWE-200: Exposure of Sensitive Information to an Unauthorized Actor •