CVE-2024-23444
CVE-2024-23444 · Elasticsearch elasticsearch-certutil csr fails to encrypt private key
Esta página presenta datos de fuentes públicas de vulnerabilidades. Consulta el aviso original antes de actualizar.
It was discovered by Elastic engineering that when elasticsearch-certutil CLI tool is used with the csr option in order to create a new Certificate Signing Requests, the associated private key that is generated is stored on disk unencrypted even if the --pass parameter is passed in the command invocation.
CVSS 4.9 · Media · EPSS 0,2% · Corrección disponible
- Publicación
- Actualización
Pila tecnológica: system
Productos y versiones afectados
elasticsearch
- Versiones
- ≥ 7.x, < 7.17.23: Afectada (custom)
- ≥ 8.x, < 8.13.0: Afectada (custom)
Actualiza a 7.17.23; Actualiza a 8.13.0
elasticsearch Ubuntu:16.04:LTS
- Versiones
- 1.6.2+dfsg-1
- 1.7.3+dfsg-1
- 1.7.3+dfsg-2
- 1.7.3+dfsg-3
- Intervalos de versiones afectados
- ECOSYSTEM: (−∞, +∞)
Sin corrección publicada