CVE-2026-115290: DoS in Elasticsearch senza autenticazione

Elasticsearch vulnerabile a DoS via recursion illimitata. Attacco senza autenticazione, PoC pubblico, CVSS 7,5.

Il CVE-2026-115290 riguarda una vulnerabilità di Uncontrolled Recursion (CWE-674) in Elasticsearch. Un attaccante senza autenticazione può inviare una richiesta appositamente costruita all'interfaccia cluster remoto di un nodo, causando ricorsione illimitata attraverso payload serializzati annidati (CAPEC-230). Il risultato è la terminazione del nodo colpito, con interruzione del servizio. Non sono richieste credenziali: chi ha accesso di rete ai nodi può ripetere l'attacco contro ogni istanza raggiungibile.

Il CVSS score è 7,5 (HIGH). La vulnerabilità è stata pubblicata su NVD il 3 novembre 2026. Un aspetto critico: il 5 novembre sono stati diffusi su GitHub prove di concetto pubbliche che dimostrano il comportamento su Elasticsearch 8.19.23 versus 8.19.24. Questo segnala che la vulnerabilità è riprodotta, richiede verifica immediata e che il tempo per patch è breve.

Azione immediata: verificare la versione di Elasticsearch in uso tramite API di cluster. Se una istanza è nella 8.19.23 o versioni vulnerabili, applicare la patch di sicurezza fornita da Elastic (ESA-2026-201). Se non è possibile patchare immediatamente, limitare l'accesso di rete all'interfaccia cluster remoto tramite firewall o VPC, restringendo la visibilità ai soli nodi autorizzati. Monitorare i log di Elasticsearch per tentativi sospetti di connessione al cluster remoto.

In sintesi

Cosa: Uncontrolled Recursion (CWE-674) in Elasticsearch via payload serializzati annidati (CAPEC-230). Attaccante unauthenticated può terminare un nodo inviando richiesta costruita all'interfaccia cluster remoto.
Gravità: CVSS 7,5 - HIGH. Attacco DoS con impatto operazionale alto, nessuna credenziale richiesta, colpisce ogni nodo raggiungibile.
Versioni interessate: Non esplicitamente elencate nella descrizione ufficiale NVD. PoC riferisce comportamento differente tra 8.19.23 e 8.19.24; verificare tramite API di cluster.
Correzione: Applicare patch di sicurezza Elastic ufficiale (ESA-2026-201). Aggiornare Elasticsearch a versione corretta disponibile da Elastic.
Stato: Pubblicato NVD 3 novembre 2026. Prove di concetto pubbliche su GitHub dal 5 novembre 2026. Non confermato come attivamente sfruttato in natura.
Azione: Verificare versione in uso tramite API cluster. Applicare patch oppure limitare accesso all'interfaccia cluster remoto via firewall/VPC. Monitorare log per tentativi anomali.

Fonti: NVD, CVE-2026-115290

← Tutti gli articoli