Zaloguj się
Deutsch English Español Polski
Średnia

Elasticsearch stores private key on disk unencrypted

  • Ujawniono: 31.07.2024
  • Aktualizacja: 11.10.2026 13:20

It was discovered by Elastic engineering that when elasticsearch-certutil CLI tool is used with the csr option in order to create a new Certificate Signing Requests, the associated private key that is generated is stored on disk unencrypted even if the --pass parameter is passed in the command invocation.

Czego dotyczy

Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.

PlatformaPaczkaPodatne wersjePoprawka w wersji
Java / Kotlin (Maven) org.elasticsearch:elasticsearch >= 8.0.0-alpha1, < 8.13.0, < 7.17.23 8.13.0, 7.17.23

Odnośniki

Ocena CVSS 4.9/10
Wektor CVSS
CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:N/A:N
Słabość (CWE)
CWE-311
Platforma
Java / Kotlin (Maven)
Paczka
org.elasticsearch:elasticsearch
Ujawniono
31.07.2024
Aktualizacja
11.10.2026 13:20

Źródła i licencje

OSV / GitHub Advisory Database - GHSA-5v8f-xx9m-wj44 - CC BY 4.0

Historia podatności: org.elasticsearch:elasticsearch

Wszystkie opisane podatności tej paczki (Java / Kotlin (Maven)), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.

Wszystkie (40) w archiwum
Wszystkich wpisów
40
Pierwsza → ostatnia
03.2021 05.2025
Bez poprawki
0
Wykorzystywana w atakach
2

Rozkład istotności

  • Wysoka 8
  • Średnia 31
  • Niska 1

Ujawnienia w latach

Istotność:
  1. Elasticsearch stores private key on disk unencrypted ten wpis
    Średnia · 4.9 CVE-2024-23444 >= 8.0.0-alpha1, < 8.13.0, < 7.17.23 8.13.0, 7.17.23
  2. Elasticsearch vulnerable to Uncontrolled Resource Consumption
    Wysoka · 7.5 CVE-2023-31418 < 7.17.13, >= 8.0.0, < 8.9.0 7.17.13, 8.9.0
  3. Improper Check for Unusual or Exceptional Conditions in Elasticsearch
    Wysoka · 7.5 CVE-2022-23712 >= 8.0.0, < 8.2.1 8.2.1
  4. Improper Privilege Management in Elasticsearch
    Wysoka · 8.8 CVE-2020-7009 >= 6.7.0, < 6.8.8, >= 7.0.0, < 7.6.2 6.8.8, 7.6.2
  5. Elasticsearch Improper Access Control vulnerability
    Wysoka · 8.1 Wykorzystywana w atakach CVE-2014-3120 < 1.4.0.Beta1 1.4.0.Beta1
  6. Improper Access Control in Elasticsearch
    Wysoka Wykorzystywana w atakach CVE-2015-1427 < 1.3.8, >= 1.4.0, < 1.4.3 1.3.8, 1.4.3
  7. Improper Access Control in Elasticsearch
    Wysoka · 7.5 CVE-2015-4165 < 1.6.0 1.6.0
  8. Exposure of Sensitive Information to an Unauthorized Actor in Elasticsearch
    Wysoka · 8.8 CVE-2018-3831 >= 5.6.0, < 5.6.12, >= 6.0.0, < 6.4.1 5.6.12, 6.4.1
  9. Improper Access Control in Elasticsearch
    Wysoka · 8.1 CVE-2019-7611 < 5.6.15, >= 6.0.0, < 6.6.1 5.6.15, 6.6.1

Dowiedz się, które podatności dotyczą Twojej aplikacji

Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.

Podłącz swoją aplikację
Newsletter DockRay

Bezpieczeństwo aplikacji w Twojej skrzynce

Najważniejsze podatności, konkretne zalecenia i praktyczne wskazówki dla Twoich aplikacji. Wybierz technologie i śledź to, co ma znaczenie dla Twojego projektu.

  • Codzienne zestawienie nowych podatności, także krytycznych.
  • Powiadomienia o ważnych aktualizacjach.
  • Praktyczne porady o bezpieczeństwie i monitoringu aplikacji.

Pozostaw puste, aby otrzymywać informacje o wszystkich technologiach.

Polityka prywatności

Zapis jest bezpłatny. Wypiszesz się jednym kliknięciem w wiadomości.