【误差通告】Elastic Cloud Enterprise 权限提升误差(CVE-2025-37736)

宣布时间 2025-11-10

一、误差概述


误差名称

Elastic Cloud Enterprise 权限提升误差

CVE   ID

CVE-2025-37736

误差类型

权限控制误差

发明时间

2025-11-10

误差评分

8.8

误差品级

高危

攻击向量

网络

所需权限

低

使用难度

低

用户交互

不需要

PoC/EXP

未果真

在野使用

未发明


Elastic Cloud Enterprise(ECE)是由Elastic公司提供的一款企业级云平台，，，，旨在资助组织在私有云或公有云情形中安排、治理和扩展Elastic Stack（如Elasticsearch、Kibana、Logstash和Beats）。。。。。ECE提供了集中化的治理界面，，，，使用户能够轻松地建设和治理多个Elasticsearch集群，，，，支持自动化的集群扩展、监控、备份和升级等功效。。。。。它支持多租户架构，，，，能够为差别的团队或项目提供隔离的情形，，，，同时简化了运维操作，，，，提高了系统的可靠性和可扩展性。。。。。Elastic Cloud Enterprise适用于需要大规模数据剖析、日志治理和搜索能力的企业级用户。。。。。


2025年11月10日，，，，人生就是博集团VSRC监测到一个影响Elastic Cloud Enterprise（ECE）的权限控制误差，，，，该误差允许内置的只读用户执行本不应允许的API挪用，，，，从而导致特权升级。。。。。受影响的API包括与效劳账户、用户认证密钥以及用户账户治理相关的多个操作，，，，如建设、删除、修改效劳账户及用户信息等。。。。。攻击者使用该误差，，，，可能绕过权限控制，，，，执行不当操作，，，，甚至建设、删除用户或效劳账户。。。。。误差评分8.8分，，，，误差级别高危。。。。。


二、影响规模


3.8.0 < Elastic Cloud Enterprise <= 3.8.2

4.0.0 < Elastic Cloud Enterprise <= 4.0.2


三、清静步伐


3.1 升级版本


官方已宣布修复补�。。。。。�，，，以修复该误差。。。。。

Elastic Cloud Enterprise >= 3.8.3
Elastic Cloud Enterprise >= 4.0.3


下载链接：

https://discuss.elastic.co/t/elastic-cloud-enterprise-ece-3-8-3-and-4-0-3-security-update-esa-2025-22/383132/


3.2 暂时步伐


暂无。。。。。


3.3 通用建议


? 按期更新系统补�。。。。。�，，，镌汰系统误差，，，，提升效劳器的清静性。。。。。

? 增强系统和网络的会见控制，，，，修改防火墙战略，，，，关闭非须要的应用端口或效劳，，，，镌汰将危险效劳（如SSH、RDP等）袒露到公网，，，，镌汰攻击面。。。。。
? 使用企业级清静产品，，，，提升企业的网络清静性能。。。。。
? 增强系统用户和权限治理，，，，启用多因素认证机制和最小权限原则，，，，用户和软件权限应坚持在最低限度。。。。。
? 启用强密码战略并设置为按期修改。。。。。


3.4 参考链接


https://discuss.elastic.co/t/elastic-cloud-enterprise-ece-3-8-3-and-4-0-3-security-update-esa-2025-22/383132/
https://nvd.nist.gov/vuln/detail/CVE-2025-37736