FreeBSD：elasticsearch -- CORS 功能中的 XSS 漏洞 (5951fb49-1ba2-11e5-b43d-002590263bf5)
medium Nessus 插件 ID 84412
语言：
简介
远程 FreeBSD 主机缺少与安全相关的更新。描述
Elastic 报告：漏洞汇总：Elasticsearch 版本 1.3.x 和之前版本使用 CORS 的默认配置，允许攻击者构建可能造成用户浏览器向其本地网络上的 Elasticsearch 实例发送请求的链接。这些请求可能造成数据丢失或损害。
修复汇总：用户应将“http.cors.enabled”设置为 false，或者将“http.cors.allow-origin”设置为应被允许访问的服务器（例如本地主机或托管 Kibana 的服务器）的值。完全禁用包含以前设置的 CORS 更安全，但可能不适用于所有使用情况。
解决方案
更新受影响的程序包。另见
https://www.elastic.co/blog/elasticsearch-1-4-0-beta-released
https://www.elastic.co/community/security
http://www.nessus.org/u?0f8804aa
插件详情
严重性: Medium
ID: 84412
文件名: freebsd_pkg_5951fb491ba211e5b43d002590263bf5.nasl
版本: 2.6
类型: Local
发布时间: 2015/6/26
最近更新时间: 2021/1/6
支持的传感器: Nessus
风险信息
VPR
风险因素: Low
分数: 1.2
百分位: 0.01
CVSS v2
风险因素: Medium
基本分数: 4.3
时间分数: 3.2
矢量: CVSS2#AV:N/AC:M/Au:N/C:N/I:P/A:N
漏洞信息
CPE: p-cpe:/a:freebsd:freebsd:elasticsearch, cpe:/o:freebsd:freebsd
必需的 KB 项: Host/local_checks_enabled, Host/FreeBSD/release, Host/FreeBSD/pkg_info
易利用性: No known exploits are available
补丁发布日期: 2015/6/26
漏洞发布日期: 2014/10/1
参考资料信息
CVE: CVE-2014-6439
BID: 70233