Elasticsearch
Elasticsearch: richiesta costruita ad arte provoca l'arresto del nodo (DoS)
Il problema, secondo i dati ufficiali
- Una ricorsione non controllata (CWE-674) in Elasticsearch può causare un blocco del servizio: una richiesta appositamente costruita, con dati serializzati contenenti payload annidati, fa terminare il nodo.
- Può sfruttarla un attaccante non autenticato, senza credenziali, che abbia accesso di rete all'interfaccia server del cluster remoto di un nodo.
- L'attaccante può ripetere la richiesta su ogni nodo raggiungibile.
- Secondo la CISA l'attacco si può automatizzare.
Cosa fare
- I dati ufficiali della CVE non indicano una versione corretta: segui l'avviso del produttore.
- Se non puoi aggiornare subito, applica le misure temporanee indicate nell'avviso del produttore (a volte chiede di spegnere il servizio); se non ne indica e il servizio è raggiungibile da internet, limita chi può raggiungerlo (VPN o filtro degli indirizzi).
Versioni interessate
- Elasticsearch: dalla 8.10.0 alla 8.19.23 inclusa; dalla 9.0.0 alla 9.4.8 inclusa; dalla 9.5.0 alla 9.5.5 inclusa
Ne parlano
- Risolte vulnerabilità in prodotti Elastic — CSIRT Italia, 6 novembre 2026
Fonti ufficiali
- discuss.elastic.co — riferimento
Descrizione ufficiale (in inglese)
Uncontrolled Recursion (CWE-674) in Elasticsearch can lead to denial of service via Serialized Data with Nested Payloads (CAPEC-230). An unauthenticated attacker with network access to the remote cluster server interface of a node can send a specially crafted request that causes the node to terminate. No credentials are required. The attacker can repeat the request against each reachable node.
Non sai se ti riguarda?
Se usi Elasticsearch e non sai quale versione hai, o hai un sito o un e-commerce da tenere al sicuro, possiamo controllarlo noi. Intanto puoi fare un primo controllo gratuito.
Il riassunto del problema è scritto da un modello linguistico (Claude di Anthropic) a partire dalla descrizione ufficiale, e controllato in automatico contro di essa. Soluzione e versioni vengono solo dai dati ufficiali (CISA KEV, NVD, CVE.org, FIRST EPSS). Ultimo aggiornamento: 13 novembre 2026. Prima di intervenire verifica l'avviso del produttore.