Limitação Inadequada de um Caminho para um Diretório Restrito em Logstash Levando à Escrita Arbitrária de Arquivos

A exploração bem-sucedida desta vulnerabilidade permite que um atacante escreva arquivos em locais arbitrários no sistema de arquivos do servidor Logstash. Isso ocorre devido à falta de validação adequada de caminhos de arquivo dentro de arquivos compactados durante o processo de extração. Um atacante pode criar um arquivo compactado malicioso e, se o Logstash estiver configurado para carregar pipelines automaticamente de uma fonte controlada pelo atacante, a vulnerabilidade pode ser explorada. O impacto potencial é severo, incluindo a capacidade de sobrescrever arquivos de configuração críticos, instalar malware ou obter acesso shell ao sistema. A execução remota de código, embora não diretamente explorada, é uma consequência potencial da escrita arbitrária de arquivos, especialmente se o atacante conseguir sobrescrever executáveis ou scripts.

Organizations heavily reliant on Logstash for centralized logging and data processing are at significant risk. Specifically, environments with automatic pipeline reloading enabled, or those lacking robust input validation on update endpoints, are particularly vulnerable. Shared hosting environments where multiple users share a Logstash instance also face increased risk.

• linux / server:

journalctl -u logstash | grep -i "archive extraction"

• linux / server:

ps aux | grep -i logstash | grep -i "extracting archive"

• generic web:

curl -I <logstash_update_endpoint> | grep -i "Content-Type: application/zip"

1. 2026-04-08Disclosure

   disclosure

1. Reservado2026-03-20
2. Publicada2026-04-08
3. Modificada2026-04-10
4. EPSS atualizado2026-04-16

A mitigação primária é atualizar o Logstash para a versão 8.19.14 ou superior, que corrige a vulnerabilidade. Se a atualização imediata não for possível, considere desativar o carregamento automático de pipelines de fontes não confiáveis. Implementar regras de firewall (WAF) ou proxy para bloquear solicitações que tentem acessar arquivos compactados de fontes externas pode ajudar a reduzir a superfície de ataque. Monitore os logs do Logstash em busca de tentativas de acesso a arquivos em locais inesperados ou com nomes suspeitos. Além disso, restrinja as permissões do usuário Logstash para minimizar o impacto caso a vulnerabilidade seja explorada.