発行2023年9月14日

このアドバイザリーは、Elastic社が最近発表したCVE-2022-1471に関するセキュリティ声明を共有するために作成されました。

エラスティックの声明

Elasticsearch はこの問題の影響を受けません。

Elasticsearch は CVE-2022-1471 で説明されている問題の影響を 受けません。

概要

Elasticsearch は検索クエリのフォーマットとして YAML をサポートしており、設定ファイル（elasticsearch.yml など）にも YAML を使用しています。 しかし、ElasticsearchのYAML解析はX-Contentプラグインで実装されており、 jackson-dataformats-text と NOT Snakeyamlを直接使用します。

その他の詳細

Elasticsearch が YAML 解析に Snakeyaml を直接使用したことがあるのは、 Machine Dependent Heap Size calculationsの場合のみです。 これは7.12で [7.x] ノードの役割とシステムの総メモリに基づいてヒープ設定を自動決定する の機能として導入されました。 7.13.0以降でyamlパーサ のコンストラクタを調整する で変更されるまで、もともと（短期間）安全でないコンストラクタを使用していました。 この変更により、Elasticsearchのコードベースのどの場所でも、たとえ偶発的であったとしても、unsafeコンストラクタを使用できないように、 、禁止メソッド。 Tweak constructor for yaml parser が 8.0.0-alpha でマージされたため、8.0.0 以降のバージョンでは安全なコンストラクタしか使用されていません。 この場合でも、YAMLの解析は elasticsearch.yml ファイルに制限されており、悪用を試みるには非常に高い既存権限（Elasticsearchのノードファイルシステムへの書き込み権限）が必要であることは注目に値する。

8.3.0以降では、 "Remove direct snakeyaml dependency from launcher tools" 、snakeyamlは直接の依存関係として削除され、 jackson-dataformats-textによってサポートされるX-Contentの使用に切り替えられました。 Snakeyamlは、 jackson-dataformats-text の推移的依存関係としてのみElasticsearchにバンドルされていますが、 jackson-dataformats-text はYAMLのパースにsnakeyamlを使用せず、ライブラリの他の部分をサポート的に使用しています。 jackson-dataformats-text の開発者は、彼らのYAML解析がCVE-2022-1471の影響を一切受けないことを。

8.8.0以降では、Elastic標準のメンテナンスの一環として、このsnakeyamlの依存関係は2.0にアップグレードされています。

検索エンジン互換性マトリックス

互換性のあるコネクタのバージョンや必要なパッチレベルなど、Elasticsearchの詳細な互換性については、こちらの情報 をご参照ください。

ソース

https://discuss.elastic.co/t/elasticsearch-security-statement-regarding-cve-2022-1471/343006/1

---

• Elastic、Elasticsearch、X-Packは、米国で登録されたElasticsearch BVの商標です。 そして他の国々でも。