Elasticsearch B.V.のLogstashにおけるパストラバーサルの脆弱性
| Title |
Elasticsearch B.V.のLogstashにおけるパストラバーサルの脆弱性
|
| Summary |
Logstashにおける制限されたディレクトリへのパス名の不適切な制限（CWE-22）は、相対パストラバーサル（CAPEC-139）を介して任意のファイル書き込みおよび潜在的なリモートコード実行につながる可能性があります。Logstashで使用されるアーカイブ抽出ユーティリティは、圧縮アーカイブ内のファイルパスを適切に検証していません。攻撃者が侵害された、または攻撃者が管理する更新エンドポイントを通じて特別に細工されたアーカイブをLogstashに提供できる場合、Logstashプロセスの権限でホストファイルシステムに任意のファイルを書き込むことが可能になります。自動パイプラインのリロードが有効な特定の構成では、これによりリモートコード実行にエスカレートする可能性があります。
|
| Possible impacts |
当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。 また、当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。 さらに、当該ソフトウェアが完全に停止する可能性があります。 そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。 |
| Solution |
正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。 |
| Publication Date |
April 8, 2026, midnight |
| Registration Date |
April 23, 2026, 10:13 a.m. |
| Last Update |
April 23, 2026, 10:13 a.m. |
|
CVSS3.0 : 緊急
|
| Score |
9.8
|
| Vector |
CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H |
Affected System
| Elasticsearch B.V. |
|
Logstash 8.0.0 以上 8.19.14 未満
|
|
Logstash 9.0.0 以上 9.2.8 未満
|
|
Logstash 9.3.0 以上 9.3.3 未満
|
CVE (情報セキュリティ 共通脆弱性識別子)
CWE (共通脆弱性タイプ一覧)
ベンダー情報
Change Log
| No |
Changed Details |
Date of change |
| 1 |
[2026年04月23日]
掲載 |
April 23, 2026, 10:13 a.m. |
NVD Vulnerability Information
CVE-2026-33466
| Summary |
Improper Limitation of a Pathname to a Restricted Directory (CWE-22) in Logstash can lead to arbitrary file write and potentially remote code execution via Relative Path Traversal (CAPEC-139). The archive extraction utilities used by Logstash do not properly validate file paths within compressed archives. An attacker who can serve a specially crafted archive to Logstash through a compromised or attacker-controlled update endpoint can write arbitrary files to the host filesystem with the privileges of the Logstash process. In certain configurations where automatic pipeline reloading is enabled, this can be escalated to remote code execution.
|
| Publication Date |
April 9, 2026, 3:26 a.m. |
| Registration Date |
April 15, 2026, 11:32 a.m. |
| Last Update |
April 22, 2026, 8:14 a.m. |
Affected software configurations
| Configuration1 |
or higher |
or less |
more than |
less than |
| cpe:2.3:a:elastic:logstash:*:*:*:*:*:*:*:* |
8.0.0 |
|
|
8.19.14 |
| cpe:2.3:a:elastic:logstash:*:*:*:*:*:*:*:* |
9.0.0 |
|
|
9.2.8 |
| cpe:2.3:a:elastic:logstash:*:*:*:*:*:*:*:* |
9.3.0 |
|
|
9.3.3 |
Related information, measures and tools
Common Vulnerabilities List