Elastic APM agent for Ruby vulnerable to Improper Certificate Validation

高 7.4CVE-2019-7615 · GHSA-35j2-p8fh-x966 · 30/07/2019 公開 · 17/06/2026 更新

要点

CVE-2019-7615 は elastic-apm, apm-agent-ruby (elastic) に影響する深刻度「高」 (CVSS 7.4) の脆弱性です。
今後30日間に悪用される確率（EPSS）：0.64%（全脆弱性の 50.9% より高い）。
対処：2.9.0 以降に更新してください。

パッケージ	影響を受けるバージョン	修正済みバージョン
elastic-apm RubyGems	`< 2.9.0`	`2.9.0`
apm-agent-ruby elastic	`< 2.9.0`	`2.9.0`

概要

A TLS certificate validation flaw was found in Elastic APM agent for Ruby versions before 2.9.0. When specifying a trusted server CA certificate via the server_ca_cert setting, the Ruby agent would not properly verify the certificate returned by the APM server. This could result in a man in the middle style attack against the Ruby agent.

NVD の説明

A TLS certificate validation flaw was found in Elastic APM agent for Ruby versions before 2.9.0. When specifying a trusted server CA certificate via the 'server_ca_cert' setting, the Ruby agent would not properly verify the certificate returned by the APM server. This could result in a man in the middle style attack against the Ruby agent.

参考情報

nvd.nist.gov/vuln/detail/CVE-2019-7615 · ADVISORY
elastic/apm-agent-ruby#449 · WEB
elastic/apm-agent-ruby · PACKAGE
rubysec/ruby-advisory-db · WEB
elastic.co/community/security · WEB
elastic.co/community/security · Vendor Advisory

これらの製品をお使いですか？サイトをスキャンして、脆弱なバージョンが公開されていないか確認しましょう。

無料でサイトをスキャン

パッケージ

影響を受けるバージョン

修正済みバージョン

elastic-apm

RubyGems

< 2.9.0

2.9.0

apm-agent-ruby

elastic

< 2.9.0

2.9.0

概要

NVD の説明