Elastic - CVE-2026-72649

Il s'agit d'une vulnérabilité de désérialisation de données non fiables dans le composant de machine learning d'Elasticsearch.

Elasticsearch est un moteur de recherche et d'analyse distribué développé par Elastic. Il indexe des documents au format JSON et est utilisé pour la recherche full-text, l'analyse de journaux et les tableaux de bord de supervision, notamment au sein de la suite Elastic Stack.

Elle provient du traitement d'un artefact de modèle entraîné spécialement conçu, dont la désérialisation permet une injection d'objets malveillants au sein du processus. Un utilisateur authentifié qui dispose des privilèges nécessaires pour créer et déployer des modèles entraînés peut faire exécuter une logique arbitraire contrôlée par l'attaquant, avec une surface d'appels système plus large que celle normalement prévue pour cette fonctionnalité.

Elle permet l'exécution de code à distance sur le cluster Elasticsearch.