OpenSearch Data Prepper: SSL-Zertifikatsprüfung standardmässig deaktiviert

Beschreibung

Die OpenSearch-Sink- und -Source-Plugins von OpenSearch Data Prepper vertrauen vor Version 2.12.2 standardmässig allen SSL-Zertifikaten, wenn kein Zertifikatspfad angegeben ist. Dadurch wird die SSL-Zertifikatsprüfung bei Verbindungen zu OpenSearch-Clustern umgangen, was Man-in-the-Middle-Angriffe zum Abfangen und Verändern von Daten ermöglicht. CVSS-Basiswert: 7.4 (Hoch). Empfohlene Massnahme: auf Version 2.12.2 aktualisieren; alternativ den Parameter cert mit dem Pfad zum CA-Zertifikat des Clusters setzen.

Changelog

1. 2026-08-01 · zuletzt

   • Report neu erstellt.

Automatisch aus dem Vergleich der Datenstände erzeugt (CVSS, Schweregrad, KEV-Status, Ransomware, betroffene Produkte, EPSS-Sprünge ab 5 Prozentpunkten). Nicht redaktionell verfasst.

Betroffene Produkte

Quellen und Referenzen

• NVD (NIST) Offizieller Eintrag mit CVSS-Vektor und Referenzen
• MITRE CVE CVE-Stammsatz der MITRE Corporation
• FIRST EPSS Ausnutzungswahrscheinlichkeit der naechsten 30 Tage

Weitere Schwachstellen in OpenSearch

• TanStack npm-Pakete – Supply-Chain-Kompromittierung KEV CVE-2026-45321
• HTTP/2 Rapid Reset Attack Vulnerability KEV CVE-2023-44487
• Wazuh Manager – NDJSON-Injection in OpenSearch-Bulk-Requests CVE-2026-56699
• OpenSearch Dashboards – Codeausführung über dashboards-observability-Plugin CVE-2026-77811
• OpenSearch – Denial of Service durch komplexe query_string-Anfragen CVE-2025-9624
• Oracle PeopleSoft PeopleTools: Schwachstelle in OpenSearch Dashboards (8.61/8.62) CVE-2026-47026