Elasticsearch の権限昇格の問題 (ESA-2022-02)

Elasticsearch 7.17.0 のアップグレードアシスタントに、バージョン 6.x から 7.x へのアップグレードを行うと、セキュリティインデックスに対する内蔵の保護機能が無効になり、「*」インデックスパーミッションを持つ認証済みユーザがこのインデックスにアクセスできるようになるという欠陥が発見されました。
影響を受けるバージョン:

バージョン7.16.0から7.17.0まで。
解決策と緩和策:

6.x からアップグレードされたクラスタを使用しているユーザーは、7.17.1 にアップグレードする必要があります。 6.x からのアップグレードを計画しているユーザーは、バージョン 7.16 から 7.17.0 へのアップグレードは行わず、6.x からのアップグレードには 7.17.1+ を使用すべきです。
CVSSv3:

6.8 (中) - AV:N/AC:H/PR:L/UI:N/S:U/C:H/I:H/A:N
CVE ID:

CVE-2022-23708

Kibanaの認証欠落の問題 (ESA-2022-03)

Kibanaに、Uptime機能へのReadアクセス権を持つユーザーが警告ルールを変更できる不具合が発見されました。 この権限を持つユーザーは、新しい警告ルールを作成したり、既存のルールを上書きしたりすることができるようになります。 しかし、新規または修正されたルールは有効にならず、この権限を持つユーザーは警告コネクタを修正することはできません。 これは、Read user が既存の警告ルールを無効化できることを意味します。
影響を受けるバージョン:

バージョン 7.7.0 から 7.17.0 および 8.0.0
解決策と緩和策:

この問題は、7.17.1、8.01、および 8.1.0 で修正されています。

この問題を緩和するために、影響を受けるバージョンのユーザーは、アラートの作成/変更ができないようにする必要がある場合、Uptime 機能への読み取り権限をユーザーに付与しないようにし、組み込みの Viewer ロールを使用しないようにすることができます。
CVSSv3:

4.3 (中) - AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:L/A:N
CVE ID:

CVE-2022-23709

Kibana のクロスサイトスクリプティング (XSS) の問題 (ESA-2022-04)

データプレビューペイン（旧名：インデックスパターンプレビューペイン）にクロスサイトスクリプティング（XSS）の脆弱性が発見され、被害者のブラウザで任意のJavaScriptを実行される可能性がありました。
影響を受けるバージョン:

Elastic Cloud Services では、バージョン 7.15.0 から 7.17.0 まで、および 8.0.0 に影響します。
解決策と対策:

7.17.1, 8.0.1, 8.1.0 で修正されました。

インデックスパターン管理機能および保存オブジェクト管理機能に対するすべてのユーザーのアクセス権を、インデックスパターンの作成/変更ができないようにすることで、影響を受けるバージョンのユーザーが緩和されます。 注：インデックスパターンは8.0からデータビューと呼ばれるようになりました。
CVSSv3:

5.4 (中) - AV:N/AC:H/PR:L/UI:R/S:U/C:H/I:L/A:N
CVE ID:

CVE-2022-23710

追加情報

Liferay DXP の Sidecar Elasticsearch サーバー（ローカルでの開発とテスト目的にのみ適しています！）は影響を受けません。なぜなら、既存の Sidecar インストールは（ Elasticsearch Upgradeの意味で）直接アップグレードされません：代わりに、常に [Liferay Home]/elasticsearch-sidecar (DXP 7. 4) に新鮮で新しい配布物が抽出されるからです。4) または [Liferay Home]/elasticsearch7 (DXP 7.3) Sidecar Elasticsearch サーバーのバージョンをアップグレードするたびに（例えば 7.14.1 から 7.17.0)、または Liferay DXP が Sidecar モードを使用しランタイムフォルダを存在させない設定になっているときに、新しいディストリビューションを展開します。 さらに、Sidecar Elasticsearchサーバーは、X-Pack Securityの機能を無効にして動作するようにプログラムで設定されているため、セキュリティインデックスを作成することができません。