【缝隙公告】Elastic Cloud Enterprise 权限提升缝隙(CVE-2025-37736)

颁布功夫 2025-11-10

一、缝隙概述


缝霞称

Elastic Cloud Enterprise 权限提升缝隙

CVE   ID

CVE-2025-37736

缝隙类型

权限节造缝隙

发现功夫

2025-11-10

缝隙评分

8.8

缝隙等级

高危

攻击向量

网络

所需权限

低

利用难度

低

用户交互

不必要

PoC/EXP

未公开

在野利用

未发现


Elastic Cloud Enterprise(ECE)是由Elastic公司提供的一款企业级云平台，，，，，旨在援手组织在私有云或公有云环境中部署、治理和扩大Elastic Stack（如Elasticsearch、Kibana、Logstash和Beats）。。。。。。。。ECE提供了集中化的治理界面，，，，，使用户可能轻松地创建和治理多个Elasticsearch集群，，，，，支持自动化的集群扩大、监控、备份和升级等职能。。。。。。。。它支持多租户架构，，，，，可能为分歧的团队或项目提供隔离的环境，，，，，同时简化了运维操作，，，，，提高了系统的靠得住性和可扩大性。。。。。。。。Elastic Cloud Enterprise合用于必要大规模数据分析、日志治理和搜索能力的企业级用户。。。。。。。。


2025年11月10日，，，，，8827太阳集团集团VSRC监测到一个影响Elastic Cloud Enterprise（ECE）的权限节造缝隙，，，，，该缝隙允许内置的只读用户执行本不应允许的API挪用，，，，，从而导致特权升级。。。。。。。。受影响的API蕴含与服务账户、用户认证密钥以及用户账户治理有关的多个操作，，，，，如创建、删除、批改服务账户及用户信息等。。。。。。。。攻击者利用该缝隙，，，，，可能绕过权限节造，，，，，执行不当操作，，，，，甚至创建、删除用户或服务账户。。。。。。。。缝隙评分8.8分，，，，，缝隙级别高危。。。。。。。。


二、影响领域


3.8.0 < Elastic Cloud Enterprise <= 3.8.2

4.0.0 < Elastic Cloud Enterprise <= 4.0.2


三、安全措施


3.1 升级版本


官方已颁布建复补�。。。。。。。。�，，，，以建复该缝隙。。。。。。。。

Elastic Cloud Enterprise >= 3.8.3
Elastic Cloud Enterprise >= 4.0.3


下载链接：

https://discuss.elastic.co/t/elastic-cloud-enterprise-ece-3-8-3-and-4-0-3-security-update-esa-2025-22/383132/


3.2 一时措施


暂无。。。。。。。。


3.3 通用建议


? 定期更新系统补�。。。。。。。。�，，，，削减系统缝隙，，，，，提升服务器的安全性。。。。。。。。

? 加强系统和网络的接见节造，，，，，批改防火墙战术，，，，，关关非必要的利用端口或服务，，，，，削减将危险服务（如SSH、RDP等）露出到公网，，，，，削减攻击面。。。。。。。。
? 使用企业级安全产品，，，，，提升企业的网络安全机能。。。。。。。。
? 加强系统用户和权限治理，，，，，启用多成分认证机造和最幼权限准则，，，，，用户和软件权限应维持在最低限度。。。。。。。。
? 启用强密码战术并设置为定期批改。。。。。。。。


3.4 参考链接


https://discuss.elastic.co/t/elastic-cloud-enterprise-ece-3-8-3-and-4-0-3-security-update-esa-2025-22/383132/
https://nvd.nist.gov/vuln/detail/CVE-2025-37736