es集群漏洞修复记录-CVE-2014-3120

 

作者：

马文斌

时间：

2023-10-24

标签：
es 漏洞修复

前言

进入咱们的es 7.2 集群被安全工具扫描出了漏洞，漏洞代码 (CVE-2014-3120)

修复漏洞

经过一番搜索，大部分都是说这个漏洞是在es < 1.2 以前会有，1.2 之后就修复了，可是目前es 集群是7.2 怎么也会有呢？最后我也没弄明白

网上大部分说添加这个参数就可以解决：

0x04 漏洞修复
1、在配置文件config/elasticsearch.yml中，添加一行
script.disable_dynamic: true并重启服务
2、升级ElasticSearch到1.2版本以上

添加之后es起不来 查看日志 说这个参数不识别，需要精细化

Caused by: java.lang.IllegalArgumentException: script.disable_dynamic is not a supported setting, replace with fine-grained script settings. 
 Dynamic scripts can be enabled for all languages and all operations not using `script.disable_dynamic: false` in elasticsearch.yml

继续精细化参数

还是报错 说这些参数不识别，没办法只能慢慢查官网文档了

script.inline: on
script.indexed: on

最后解决

在config/elasticsearch.yml中添加2行，然后重启es

不允许执行所有脚本类型

不允许执行所有脚本上下文

script.allowed_types: none
script.allowed_contexts: none

其实也没什么难度，因为网上没有找到相关资料，记录下

参考

Scripting and security | Elasticsearch Guide [7.2] | Elastic

作者公众号：