The Elasticsearch application hosted on the remote web server is affected by a remote code execution vulnerability due to a failure to properly sanitize user-supplied input to the 'source' parameter of the '/_search' page. A remote, unauthenticated attacker can exploit this flaw to execute arbitrary Java code or manipulate files on the remote host.

An updated katello-configure package that fixes one security issue is now available for Red Hat Subscription Asset Manager.

Red Hat Product Security has rated this update as having Important security impact. A Common Vulnerability Scoring System (CVSS) base score, which gives a detailed severity rating, is available from the CVE link in the References section.

The katello-configure package provides the katello-configure script, which configures the Katello installation, and the katello-upgrade script, which handles upgrades between versions.

It was discovered that the default configuration of Elasticsearch enabled dynamic scripting, allowing a remote attacker to execute arbitrary MVEL expressions and Java code via the source parameter passed to _search. (CVE-2014-3120)

All Subscription Asset Manager users are advised to upgrade to this updated package. The update provides a script that modifies the elasticsearch.yml configuration file to disable dynamic scripting.
After updating, run the 'katello-configure' command. This will update the elasticsearch.yml configuration file and restart the elasticsearch service.

Elastic reports :

Vulnerability Summary: In Elasticsearch versions 1.1.x and prior, dynamic scripting is enabled by default. This could allow an attacker to execute OS commands.

Remediation Summary: Disable dynamic scripting.

Logstash 1.4.2 was bundled with Elasticsearch 1.1.1, which is vulnerable to CVE-2014-3120. These binaries are used in Elasticsearch output specifically when using the node protocol. Since a node client joins the Elasticsearch cluster, the attackers could use scripts to execute commands on the host OS using the node client's URL endpoint.
With 1.4.3 release, we are packaging Logstash with Elasticsearch 1.5.2 binaries which by default disables the ability to run scripts. This also affects users who are using the configuration option embedded=>true in the Elasticsearch output which starts a local embedded Elasticsearch cluster. This is typically used in development environment and proof of concept deployments. Regardless of this vulnerability, we strongly recommend not using embedded in production.

Note that users of transport and http protocol are not vulnerable to this attack.

1 つのセキュリティ問題を修正する更新済みの katello-configure パッケージが、Red Hat Subscription Asset Manager で現在利用可能です。

Red Hat 製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度高として評価しています。詳細な重要度評価を示す Common Vulnerability Scoring System（CVSS）ベーススコアは「参照」セクションの CVE リンクで入手できます。

katello-configure パッケージでは、Katello のインストールを構成する katello-configure スクリプト、およびバージョン間のアップグレードを処理する katello-upgrade スクリプトが提供されます。

Elasticsearch のデフォルトの構成では、動的なスクリプト作成が有効であることが判明しました。これにより、リモートの攻撃者は、_search にソースパラメーターを渡すことで、任意の MVEL 式や Java コードを実行することが可能です。（CVE-2014-3120）

Subscription Asset Manager の全ユーザーは、この更新済みパッケージにアップグレードすることが推奨されます。この更新では、elasticsearch.yml 構成ファイルを修正して動的なスクリプト作成を無効にするためのスクリプトが提供されます。
更新の後に、「katello-configure」コマンドを実行してください。これにより、elasticsearch.yml 構成ファイルを更新し、elasticsearch サービスを再起動します。

リモートの Web サーバーでホストされている Elasticsearch アプリケーションは、リモートコードの実行の脆弱性による影響を受けます。この原因は、「/_search」ページの「ソース」パラメーターへのユーザー指定の入力を適切にサニタイズできないためです。リモートの認証されていない攻撃者がこの欠陥を悪用して、リモートホストで任意の Java コードを実行したり、ファイルを操作したりする可能性があります。

Elastic による報告：

脆弱性のサマリー：Elasticsearch バージョン 1.1.x 以前において、動的スクリプトはデフォルトで有効です。これにより、リモートの攻撃者は、OS コマンドを実行できる可能性があります。

改善のサマリー：動的スクリプトを無効にします。

Logstash 1.4.2 は Elasticsearch 1.1.1 にバンドルされていました。このことは CVE-2014-3120 に対して脆弱です。これらのバイナリは、特にノードプロトコルの使用時に Elasticsearch の出力で使用されます。ノードクライアントは Elasticsearch クラスターに加わるため、攻撃者はスクリプトを利用して、ノードクライアントの URL エンドポイントを使用することで、ホスト OS に対してコマンドを実行する可能性があります。
1.4.3 リリースでは、Logstash を Elasticsearch 1.5.2 バイナリと同梱しており、デフォルトではスクリプトを実行できないようにしています。これは、組み込まれたローカルの Elasticsearch クラスターを起動するために、構成オプション embedded=>true を Elasticsearch の出力で使用しているユーザーにも影響を与えます。これは通常、開発環境や概念実証の展開で使用されます。この脆弱性の有無を問わず、組み込まれたものを本番環境で使用しないことを強く推奨します。

注意：トランスポートおよび http プロトコルのユーザーは、この攻撃に脆弱ではありません。

遠端 Web 伺服器上主控的 Elasticsearch 應用程式受到一個遠端程式碼執行弱點影響，該弱點是因為無法正確清理使用者對 '/_search' 頁面之 'source' 參數提供的輸入所導致。未經驗證的遠端攻擊者可惡意利用此瑕疵，在遠端主機上執行任意 Java 程式碼或操控檔案。

現已提供適用於 Red Hat Subscription Asset Manager 的更新版 katello-configure 套件，可修正一個安全性問題。

Red Hat 產品安全性團隊已將此更新評等為具有重要安全性影響。可從〈參照〉一節的 CVE 連結中取得常見弱點評分系統 (CVSS) 的基本分數，其中包含有關嚴重性評等的詳細資訊。

katello-configure 套件提供可用於設定 Katello 安裝的 katello-configure 指令碼，以及可用於處理版本間升級的 katello-upgrade 指令碼。

據發現，Elasticsearch 的預設組態會啟用動態指令碼，允許遠端攻擊者透過傳遞至 _search 的來源參數，執行任意 MVEL 運算式和 Java 程式碼。(CVE-2014-3120)

建議所有 Subscription Asset Manager 使用者皆升級至此更新版套件。此更新提供的指令碼可將 elasticsearch.yml 組態檔修改為停用動態指令碼。
更新之後，請執行「katello-configure」命令。此可更新 elasticsearch.yml 組態檔，並重新啟動 elasticsearch 服務。

远程 Web 服务器上托管的 Elasticsearch 应用程序受到一个远程代码执行漏洞的影响，造成该漏洞的原因是无法正确审查用户提供的“/_search”页面的“source”参数输入。未经认证的远程攻击者可利用此缺陷，在远程主机上执行任意 Java 代码或操纵文件。

更新后的 katello-configure 程序包修复了一个安全问题，现在可用于 Red Hat Subscription Asset Manager。

Red Hat 产品安全团队将此更新评级为具有重要安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其给出了详细的严重性等级。

katello-configure 程序包提供 katello-configure 脚本（该脚本配置 Katello 安装）和 katello-upgrade 脚本（该脚本处理版本之间的升级）。

已发现启用了 Elasticsearch 的动态脚本的默认配置允许远程攻击者通过传递到 _search 的 source 参数来执行任意 MVEL 表达式和 Java 代码。(CVE-2014-3120)

建议所有 Subscription Asset Manager 用户升级此更新后的程序包。该更新提供了一个脚本，可修改 elasticsearch.yml 配置文件以禁用动态脚本。
更新之后，运行“katello-configure”命令。此命令将更新 elasticsearch.yml 配置文件并重新启动 elasticsearch 服务。

Elastic 報告：

弱點摘要：在 Elasticsearch 1.1.x 和之前版本中，預設啟用動態指令碼。這可讓攻擊者執行 OS 命令。

修復摘要：停用動態指令碼。

Logstash 1.4.2 隨附在容易受到 CVE-2014-3120 影響的 Elasticsearch 1.1.1 中。這些二進位用於 Elasticsearch 輸出中，特別是在使用節點通訊協定時。由於節點用戶端加入 Elasticsearch 叢集，因此攻擊者可以使用指令碼，在使用節點用戶端 URL 端點的主機 OS 上執行命令。
透過 1.4.3 版，我們會將 Logstash 與 Elasticsearch 1.5.2 二進位封裝在一起，如此預設便會停用執行指令碼的功能。這也會影響在 Elasticsearch 輸出中使用組態選項 embedded=>true 的使用者，此選項會啟動本機內嵌的 Elasticsearch 叢集。這通常用於開發環境以及概念證明部署。無論是否有這個弱點，我們都強烈建議不要在生產環境中使用內嵌功能。

請注意，傳輸與 http 通訊協定的使用者不容易受到此攻擊的影響。

Elastic 报告：

漏洞汇总：在 Elasticsearch 版本 1.1.x 和较早版本中，默认启用动态脚本。这可允许攻击者执行操作系统命令。

修复汇总：禁用动态脚本。

Logstash 1.4.2 捆绑了 Elasticsearch 1.1.1，并容易受到 CVE-2014-3120 的影响。具体而言，使用节点协议时，会在 Elasticsearch 输出中使用这些二进制文件。因为节点客户端加入了 Elasticsearch 群集，攻击者可利用脚本在使用节点客户端的 URL 端点的主机操作系统中执行命令。
在 1.4.3 版本中，我们将 Logstash 与 Elasticsearch 1.5.2 二进制文件打包在一起，它在默认情况下会禁用运行脚本的功能。这还会影响在 Elasticsearch 输出中使用配置选项 embedded=>true（此选项启动本地嵌入的 Elasticsearch 群集）的用户。这通常在开发环境和概念验证部署中使用。无论是否存在此漏洞，我们都强烈建议不在生产中使用嵌入的群集。

请注意，传输和 http 协议的用户不容易遭受此攻击。

ID	名稱	產品	系列	已發布	已更新	嚴重性
76572	Elasticsearch 'source' Parameter RCE	Nessus	CGI abuses	2014/7/17	2022/3/28	medium
77661	RHEL 6 : katello-configure (RHSA-2014:1186)	Nessus	Red Hat Local Security Checks	2014/9/12	2022/3/28	medium
84411	FreeBSD : elasticsearch and logstash -- remote OS command execution via dynamic scripting (43ac9d42-1b9a-11e5-b43d-002590263bf5)	Nessus	FreeBSD Local Security Checks	2015/6/26	2022/3/28	medium
77661	RHEL 6：katello-configure（RHSA-2014:1186）	Nessus	Red Hat Local Security Checks	2014/9/12	2022/3/28	medium
76572	Elasticsearch「source」パラメーター RCE	Nessus	CGI abuses	2014/7/17	2022/3/28	medium
84411	FreeBSD：elasticsearch および logstash -- 動的スクリプトによる、リモート OS コマンドの実行（43ac9d42-1b9a-11e5-b43d-002590263bf5）	Nessus	FreeBSD Local Security Checks	2015/6/26	2022/3/28	medium
76572	Elasticsearch 'source' 參數 RCE	Nessus	CGI abuses	2014/7/17	2022/3/28	medium
77661	RHEL 6：katello-configure (RHSA-2014:1186)	Nessus	Red Hat Local Security Checks	2014/9/12	2022/3/28	medium
76572	Elasticsearch“source”参数 RCE	Nessus	CGI abuses	2014/7/17	2022/3/28	medium
77661	RHEL 6：katello-configure (RHSA-2014:1186)	Nessus	Red Hat Local Security Checks	2014/9/12	2022/3/28	medium
84411	FreeBSD：elasticsearch 和 logstash -- 透過動態指令碼執行遠端 OS 命令 (43ac9d42-1b9a-11e5-b43d-002590263bf5)	Nessus	FreeBSD Local Security Checks	2015/6/26	2022/3/28	medium
84411	FreeBSD：elasticsearch 和 logstash -- 通过动态脚本执行远程操作系统命令 (43ac9d42-1b9a-11e5-b43d-002590263bf5)	Nessus	FreeBSD Local Security Checks	2015/6/26	2022/3/28	medium

偵測

搜尋 Plugin

medium

medium

medium

medium

medium

medium

medium

medium

medium

medium

medium

medium