JVNDB-2026-026663

Elasticsearch B.V.のElasticsearchにおける再帰制御に関する脆弱性

Elasticsearchにおける制御されていない再帰（CWE-674）は、低権限の認証済みユーザーが特別に細工した検索リクエストを送信することで、サービス拒否（DoS）を引き起こす可能性があります。読み取りレベルのインデックスアクセス権を持つユーザーは、Elasticsearchのクエリ評価コンポーネント内で無制限の再帰処理を引き起こすリクエストを送信でき、その結果、影響を受けたノードが致命的なエラーで停止します。単一ノード構成の場合、これにより完全にサービスが停止し、マルチノードクラスタの場合はノードが繰り返し再起動し、継続的に可用性が低下します。

Elasticsearch B.V.

• Elasticsearch 8.19.0 以上 8.19.19 未満
• Elasticsearch 9.3.0 以上 9.3.8 未満
• Elasticsearch 9.4.0 以上 9.4.4 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う情報について、外部への漏えいは発生しません。
・当該ソフトウェアが扱う情報について、書き換えは発生しません。
・当該ソフトウェアが完全に停止する可能性があります。

ベンダ情報を参照して適切な対策を実施してください。

Elasticsearch

• Topics : Elasticsearch 8.19.19, 9.3.8, 9.4.4 Security Update (ESA-2026-68) - Announcements / Security Announcements - Discuss the Elastic Stack

1. 不適切な再帰制御(CWE-674) [その他]

1. CVE-2026-63144

1. National Vulnerability Database (NVD) : CVE-2026-63144

• [2026年08月04日]
    掲載