An error was found in the X-Pack Security TLS trust manager for versions 5.0.0 to 5.5.1.

Etkilenen sürümler

NVD sürüm aralıkları (katalogdaki ürünler için). Stack’ine sürümle eklersen eşleşme bunlarla yapılır.

• elastic x-pack5.0.0 ve sonrası · 5.5.1 dahil

Üreticinin bildirdiği sürümler

Kaydı açan otorite (elastic) tarafından bildirilen etkilenen sürüm aralıkları. NVD'nin CPE analizinden bağımsızdır ve genellikle ondan önce gelir.

• Elastic Elastic X-Pack Security

  • 5.0.0 to 5.5.1etkilenir

Aynı birincil ürünün en yüksek skorlu diğer kayıtları.

• CVE-2018-3822X-Pack Security versions 6.2.0, 6.2.1, and 6.2.2 are vulnerable to a user impersonation attack via incorrect XML canonicalization and DOM tr
  39İzleyin
• CVE-2017-8448An error was found in the permission model used by X-Pack Alerting 5.0.0 to 5.6.0 whereby users mapped to certain built-in roles could creat
  35İzleyin
• CVE-2017-8438Elastic X-Pack Security versions 5.0.0 to 5.4.0 contain a privilege escalation bug in the run_as functionality.
  35İzleyin
• CVE-2017-8450X-Pack 5.1.1 did not properly apply document and field level security to multi-search and multi-get requests so users without access to a do
  30İzleyin
• CVE-2017-8447An error was found in the X-Pack Security 5.3.0 to 5.5.2 privilege enforcement.
  26İzleyin
• CVE-2017-8442Elasticsearch X-Pack Security versions 5.0.0 to 5.4.3, when enabled, can result in the Elasticsearch _nodes API leaking sensitive configurat
  26İzleyin

FIRST EPSS günlük puanı; yalnızca 0,01 ve üstü değişimler kaydedilir (adım grafiği).

Kök neden

Sertifika doğrulama hatası, bağlantıyı kesmek yerine sessizce yutuluyor. Çoğu zaman test ortamı için eklenen kod üretime taşınır.

Bu zafiyet sınıfının temsili örneği. Üreticinin kaynak kodu değildir; hatalı kalıbı ve düzeltmesini gösterir.

1override fun checkServerTrusted(chain: Array<X509Certificate>, type: String) {2  // Test ortamı için boş bırakıldı3}

1val client = OkHttpClient.Builder()2  .certificatePinner(3    CertificatePinner.Builder()4      .add("api.sirius.example", "sha256/…")5      .build()6  ).build()

Saldırı bağlamı

Bu zafiyet sınıfının (CWE) MITRE CAPEC saldırı desenleri ve ATT&CK teknikleri. Tespit kuralı ve tehdit avı için başlangıç noktası.