跳到主要内容

高危

Elasticsearch source参数远程代码执行漏洞

2014-05-30 00:00:00 公开 ，2025-10-22 01:09:05 更新

  • 关键漏洞
  • CISA KEV
  • 勒索软件漏洞
  • 远程
  • 公开PoC
  • 2024两高一弱互联网漏洞
  • 2024两高一弱内网漏洞
  • 开源组件漏洞
  • 2025两高一弱漏洞
CWEs：
CWE-284 （Improper Access Control）
SSVC：
可利用状态：已被积极利用攻击自动化：否技术影响评估：部分 2025-02-11 04:14:11

风险信息

CVSS v2 向量
AV:N/AC:M/Au:N/C:P/I:P/A:P
CVSS v2 风险值
6.8
CVSS v3.1 向量
AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:N
CVSS v3.1 风险值
8.1

详细信息

漏洞类型
配置错误
漏洞描述
Elasticsearch是荷兰Elasticsearch公司的一套基于Lucene构建的开源分布式RESTful搜索引擎，它主要用于云计算中，并支持通过HTTP使用JSON进行数据索引。Elasticsearch 1.2之前版本中存在安全漏洞，该漏洞源于程序在默认配置下允许使用动态脚本。远程攻击者可利用该漏洞借助source参数执行任意的MVEL表达式和Java代码。
修复建议
1、升级至ElasticSearch的最新版本（1.2或更高版本），可从ElasticSearch网站获得： 2、将以下行添加到elasticsearch.yml以禁用动态脚本并防止远程代码执行，并确保本地Elasticsearch实例仅绑定到localhost。script.disable_dynamic:true http://www.elasticsearch.org/

参考链接