Vulnérabilité dans Elasticsearch (CVE-2026-72642)
Résumé
Vulnérabilité dans Elasticsearch (CVE-2026-72642). L'exploitation peut entraîner la prise de contrôle totale du système.
Description d'origine
La description telle que publiée par la source (souvent en anglais).
The native inference process that Elasticsearch uses to evaluate uploaded machine learning models accepts a model operation that computes a memory address from an offset supplied inside the model, without validating that the offset stays within the bounds of the underlying storage. A user with the privileges required to upload and deploy a trained model can craft a model that reads and writes memory outside the intended allocation. The result is heap corruption that crashes the inference process, and, with sufficient control over the heap layout, could allow arbitrary code execution in the context of that process.
Source: NIST National Vulnerability Database NVD GitHub Advisory
Résumé IA
Rédigé par une IA externe ; il peut contenir des erreurs. Vérifiez la description d'origine et les références ci-dessous avant d'agir.
Une vulnérabilité référencée CVE-2026-72642 a été découverte dans elasticsearch.
L'exploitation peut entraîner la prise de contrôle totale du système. Score CVSS : 8.8/10.
Action : appliquez le correctif officiel de l'éditeur.
En cas de doute, contactez votre service informatique ou cherchez « elasticsearch CVE-2026-72642 » sur le site de l'éditeur.
CVE-2026-72642 (elasticsearch) — CWE-823 / CVSS v3 8.8
Vecteur d'attaque : distant (réseau) / sans interaction utilisateur
Plan : 1) Audit SBOM, 2) Mise à jour staging→prod, 3) Surveillance WAF/proxy sur les endpoints affectés, 4) Recherche d'IOC dans les logs.
Réfs : voir GHSA / avis éditeur / version corrigée liés sur cette page.
Elasticsearchの推論プロセスでのメモリアドレス計算における検証不足の脆弱性。
Elasticsearchの機械学習モデル評価プロセス。
攻撃者は任意コード実行の可能性があり、プロセスがクラッシュすることがある。
Elasticsearchを最新のバージョンにアップデートし、追加のオフセット検証を実装する。
なし
最新のセキュリティアップデートが適用されているか確認する。
Paquets affectés
Références
- advisory discuss.elastic.co
- web nvd.nist.gov
- web github.com