ترجمة آلية لم تُراجَع بعد. النص الإنجليزي هو المرجع في حال الاختلاف.
الملخص
يوجد تحقق غير سليم من الشهادات (CWE-295) في حزمة شهادات نظام التشغيل المضمنة في صور Docker لكل من APM Server؛ وAuditbeat وFilebeat وHeartbeat وMetricbeat وPacketbeat؛ وElastic Agent، بما في ذلك Fleet Server وCloudbeat؛ وLogstash، بالنسبة لاتصالات TLS التي تستخدم حزمة شهادات نظام التشغيل؛ وموصلات Elastic؛ وUniversal Profiling (وكيل المضيف، جامع البيانات ومحول الرموز)؛ وElastic Maps Server. هذه الحزمة، وهي تبعية لهذه المنتجات (تبعيات على مكون طرف ثالث مصاب، CWE-1395)، قد تسمح للمهاجم با اعتراض أو تعديل حركة المرور المحمية بواسطة TLS عبر انتحال التوقيع عن طريق سرقة المفاتيح (CAPEC-474). تتضمن حزمة الشهادات سلطات إصدار شهادات جذرية قامت بالتوقيع على ثماني سلطات إصدار شهادات وسيطة تابعة لـ eMudhra سُرق مفاتيحها الخاصة. يمكن لأي شخص يمتلك هذه المفاتيح إصدار شهادة لأي اسم مضيف تقبله هذه المنتجات كموثوق به. يتطلب الاستغلال وجود مهاجم في موقع شبكي بين المنتج والطرف البعيد، والذي يعرض شهادة صادرة بأحد المفاتيح المخترقة.