Onjuiste Beperking van een Padnaam tot een Beperkte Directory in Logstash, Leidend tot Willekeurig Bestand Schrijven

Deze kwetsbaarheid maakt misbruik van een onjuiste beperking van padnamen naar een beperkte directory (CWE-22). Een aanvaller kan een speciaal ontworpen archief aanbieden aan Logstash via een gecompromitteerd update-eindpunt. De archief extractie tools in Logstash valideren paden binnen gecomprimeerde archieven niet correct. Dit stelt de aanvaller in staat om willekeurige bestanden naar het bestandssysteem te schrijven met de privileges van het Logstash proces. In configuraties met automatisch pipeline herladen, kan dit leiden tot remote code execution, waardoor de aanvaller controle over het systeem kan overnemen. De impact is aanzienlijk, aangezien een succesvolle exploit kan resulteren in dataverlies, systeemcompromittering en verdere aanval op andere systemen binnen het netwerk.

Organizations heavily reliant on Logstash for centralized logging and data processing are at significant risk. Specifically, environments with automatic pipeline reloading enabled, or those lacking robust input validation on update endpoints, are particularly vulnerable. Shared hosting environments where multiple users share a Logstash instance also face increased risk.

• linux / server:

journalctl -u logstash | grep -i "archive extraction"

• linux / server:

ps aux | grep -i logstash | grep -i "extracting archive"

• generic web:

curl -I <logstash_update_endpoint> | grep -i "Content-Type: application/zip"

1. 2026-04-08Disclosure

   disclosure

1. Gereserveerd2026-03-20
2. Gepubliceerd2026-04-08
3. Gewijzigd2026-04-10
4. EPSS bijgewerkt2026-04-16

De primaire mitigatie is het upgraden naar Logstash versie 8.19.14 of hoger, waar de kwetsbaarheid is verholpen. Indien een upgrade direct niet mogelijk is, overweeg dan het tijdelijk uitschakelen van automatische pipeline herlading. Configureer een Web Application Firewall (WAF) of proxy om verdachte archief uploads te blokkeren. Implementeer strenge toegangscontroles op de Logstash update-eindpunten. Monitor Logstash logs op ongebruikelijke bestandstoegangsactiviteit. Zoek naar IOC's zoals onverwachte bestandsnamen of paden in de logbestanden. Na de upgrade, controleer de Logstash configuratie en logs om te bevestigen dat de kwetsbaarheid is verholpen en er geen verdachte activiteit plaatsvindt.