Limitation incorrecte d'un chemin d'accès à un répertoire restreint dans Logstash entraînant une écriture de fichier arbitraire

Un attaquant exploitant cette vulnérabilité peut servir une archive spécialement conçue à Logstash via un point de terminaison de mise à jour compromis ou contrôlé par l'attaquant. L'extraction non sécurisée de cette archive permettrait à l'attaquant d'écrire des fichiers arbitraires sur le système de fichiers du serveur Logstash. Dans les configurations où le rechargement automatique des pipelines est activé, l'impact est amplifié, car l'attaquant pourrait potentiellement modifier les configurations de Logstash ou injecter du code malveillant. La compromission du processus Logstash pourrait ensuite permettre un accès non autorisé aux données traitées par Logstash, voire une prise de contrôle du système.

Organizations heavily reliant on Logstash for centralized logging and data processing are at significant risk. Specifically, environments with automatic pipeline reloading enabled, or those lacking robust input validation on update endpoints, are particularly vulnerable. Shared hosting environments where multiple users share a Logstash instance also face increased risk.

• linux / server:

journalctl -u logstash | grep -i "archive extraction"

• linux / server:

ps aux | grep -i logstash | grep -i "extracting archive"

• generic web:

curl -I <logstash_update_endpoint> | grep -i "Content-Type: application/zip"

1. 2026-04-08Disclosure

   disclosure

1. Réservé2026-03-20
2. Publiée2026-04-08
3. Modifiée2026-04-10
4. EPSS mis à jour2026-04-16

La solution principale est de mettre à jour Logstash vers la version 8.19.14 ou supérieure, qui corrige cette vulnérabilité. Si une mise à niveau immédiate n'est pas possible, des mesures d'atténuation peuvent être mises en place. Il est crucial de désactiver le rechargement automatique des pipelines si possible. En outre, configurez un pare-feu d'application web (WAF) ou un proxy inverse pour bloquer les requêtes contenant des chemins de fichiers malveillants. Surveillez attentivement les journaux de Logstash pour détecter toute tentative d'écriture de fichiers non autorisée. Enfin, examinez et limitez les sources de données que Logstash peut traiter, en vous assurant qu'elles proviennent de sources fiables.