Security

検索バー
Security Alert に戻る

Elasticsearch および Liferay Enterprise Search のセキュリティ アドバイザリ: 2020 年 8 月 5 日

投稿日：2020年8月5日発行

次の問題は、Liferay DXP および Enterprise Search 環境の機能に影響を与える可能性があります。 この通知は、Liferay Enterprise Search サブスクライバーに最新の互換性変更と必要なアクションの説明を提供します。

影響を受ける可能性のある展開

  • Kibana 6.x/7.x を使用する Elastic Stack 6.x または 7.x 上の Liferay DXP 7.0、7.1、および 7.2

脆弱性情報

(ベンダーから提供されたとおりです。)

Kibana 正規表現のサービス拒否の欠陥 (ESA-2020-09)

6.8.11 および 7.8.1 より前の Kibana バージョンには、Timelion のサービス拒否 (DoS) の欠陥が含まれています。 攻撃者は、Kibana ユーザーが表示すると、Kibana プロセスが大量の CPU を消費し、応答しなくなる URL を作成できます。

影響を受けるバージョン
7.8.1 および 6.8.11 より前のすべてのバージョン

解決策と軽減策
ユーザーは Kibana バージョン 7.8.1 または 6.8.11 にアップグレードする必要があります。 アップグレードできないユーザーは、kibana.yml 構成ファイルで timelion.enabled を false に設定することにより、Timelion を無効にすることができます。

CVSSv3: 4.8 - AV:N/AC:H/PR:L/UI:R/S:U/C:N/I:N/A:H

CVE ID: CVE-2020-7016

Kibana クロス サイト スクリプティング (XSS) の問題 (ESA-2020-10)

Kibana のリージョン マップの視覚化には、保存された XSS の欠陥が含まれています。 リージョン マップの視覚化を編集または作成できる攻撃者は、機密情報を取得したり、リージョン マップの視覚化を表示する Kibana ユーザーに代わって破壊的なアクションを実行したりする可能性があります。

影響を受けるバージョン
Kibana のすべてのバージョンがこの欠陥の影響を受けます

解決策と軽減策
ユーザーは Kibana バージョン 7.8.1 または 6.8.11 にアップグレードする必要があります。 アップグレードできないユーザーは、kibana.yml で「xpack.maps.enabled: false」、「region_map.enabled: false」、および「tile_map.enabled: false」を設定して、マップの視覚化を無効にすることができます。

バージョン 6.7.0 以降を実行しているユーザーは、最新のブラウザーで のデフォルトのコンテンツ セキュリティ ポリシー を使用するように Kibana が構成されている場合、この XSS 脆弱性によるリスクが軽減されます。 CSP は XSS を防ぎますが、基礎となる HTML インジェクションの脆弱性を軽減しません。

CVSSv3: 6.7 - AV:N/AC:H/PR:L/UI:R/S:U/C:H/I:H/A:L
CVE ID: CVE-2020-7017

追加情報

Elasticsearch 7.8.x が DXP 7.2* の互換性マトリックスに追加されました。

検索エンジンの互換性マトリックス

互換性のあるコネクタのバージョンや必要なパッチ レベルなど、Elasticsearch の互換性の詳細については、 here の情報を参照してください。

ベンダー リファレンス

*: Elasticsearch 7 には、Marketplace の「Liferay Connector to Elasticsearch 7」アプリが必要です。 最新バージョン（v3.0.1）には、サービスパック２以上かフィックスパック５以上パッチレベルが必要です。

Elastic、Elasticsearch、および X-Pack は、米国で登録された Elasticsearch BV の商標です。 そして他の国で。

On this page