Security

検索バー
Security Alert に戻る

Elasticsearch および Liferay Enterprise Search のセキュリティ アドバイザリ: 2020 年 6 月 4 日

投稿日：2020年6月4日発行

次の問題は、Liferay DXP および Enterprise Search 環境の機能に影響を与える可能性があります。 この通知は、Liferay Enterprise Search サブスクライバーに最新の互換性変更と必要なアクションの説明を提供します。

影響を受ける可能性のある展開

  • Elastic Stack 6.7 または 7.x 以降の Liferay DXP 7.0、7.1、および 7.2。

脆弱性情報

(ベンダーから提供されたとおりです。)

Kibana アップグレード アシスタント プロトタイプ汚染の欠陥 (ESA-2020-05)

6.7.0 から 6.8.8 および 7.0.0 から 7.6.2 の間の Kibana バージョンには、アップグレード アシスタントにプロトタイプ汚染の欠陥が含まれています。 Kibana インデックスへの書き込み権限を持つ認証済みの攻撃者は、Kibana に任意のコードを実行させるデータを挿入する可能性があります。 これにより、攻撃者がホスト システムで Kibana プロセスのアクセス許可を使用してコードを実行する可能性があります。

影響を受けるバージョン
6.7.0 から 6.8.8 および 7.0.0 から 7.6.2 のすべてのバージョンの Kibana

解決策と緩和策
ユーザーは Kibana バージョン 7.7.0 または 6.8.9 にアップグレードする必要があります。 アップグレードできないユーザーは、以下の手順を使用してアップグレード アシスタントを無効にすることができます。

Upgrade Assistant は、Kibana で次のオプションを設定することで無効にできます。

Kibana バージョン 6.7.0 および 6.7.1 では、kibana.yml ファイルで「upgrade_assistant.enabled: false」を設定できます

6.7.2 以降の Kibana バージョンでは、kibana.yml ファイルで「xpack.upgrade_assistant.enabled: false」を設定できます

この欠陥は、Elastic Cloud Kibana のすべてのバージョンでデフォルトで軽減されています。

CVSSv3: 6.6 - AV:A/AC:L/PR:H/UI:R/S:U/C:H/I:H/A:H
CVE ID: CVE-2020-7012

Kibana TSVB プロトタイプ汚染の欠陥 (ESA-2020-06)

6.8.9 および 7.7.0 より前の Kibana バージョンには、TSVB にプロトタイプ汚染の欠陥が含まれています。 TSVB ビジュアライゼーションを作成する権限を持つ認証済みの攻撃者は、Kibana に任意のコードを実行させるデータを挿入する可能性があります。 これにより、攻撃者がホスト システムで Kibana プロセスのアクセス許可を使用してコードを実行する可能性があります。

影響を受けるバージョン
7.7.0 および 6.8.9 より前のすべてのバージョンの Kibana

解決策と緩和策
ユーザーは Kibana バージョン 7.7.0 または 6.8.9 にアップグレードする必要があります。 アップグレードできないユーザーは、kibana.yml ファイルで「metrics.enabled: false」を設定して TSVB を無効にすることができます。

この欠陥は、Elastic Cloud Kibana のすべてのバージョンでデフォルトで軽減されています。

CVSSv3: 6.6 - AV:A/AC:L/PR:H/UI:R/S:U/C:H/I:H/A:H
CVE ID: CVE-2020-7013

Kibana クロス サイト スクリプティング (XSS) の問題 (ESA-2020-08)

Kibana の TSVB ビジュアライゼーションには、保存された XSS の欠陥が含まれています。 TSVB ビジュアライゼーションを編集または作成できる攻撃者は、TSVB ビジュアライゼーションを編集する Kibana ユーザーに代わって機密情報を取得したり、破壊的なアクションを実行したりする可能性があります。

影響を受けるバージョン
5.4.0 以降のすべてのバージョンの Kibana がこの欠陥の影響を受けます

解決策と緩和策
ユーザーは Kibana バージョン 7.7.1 または 6.8.10 にアップグレードする必要があります。 アップグレードできないユーザーは、kibana.yml ファイルで「metrics.enabled: false」を設定して TSVB を無効にすることができます。

CVSSv3: 6.7 - AV:N/AC:H/PR:L/UI:R/S:U/C:H/I:H/A:L
CVE ID: CVE-2020-7015

Elasticsearch 認証 API キーの権限昇格 (ESA-2020-07)

ESA-2020-02 (CVE-2020-7009) の修正は不完全であることが判明しました。

バージョン 6.7.0 から 6.8.7 および 7.0.0 から 7.6.1 の Elasticsearch には、攻撃者が API キーと認証トークンを作成できる場合、権限昇格の欠陥が含まれます。 API キーと認証トークンを生成できる攻撃者は、昇格された権限で認証トークンが生成される一連の手順を実行できます。

影響を受けるバージョン
6.7.0 から 6.8.8 および 7.0.0 から 7.6.2 のすべてのバージョンが、この問題に対して脆弱です。

解決策と軽減策
ユーザーは、Elasticsearch バージョン 7.7.0 または 6.8.9 にアップグレードする必要があります。 アップグレードできないユーザーは、elasticsearch.yml ファイルで「xpack.security.authc.api_key.enabled」を false に設定して API キーを無効にすることで、この問題を軽減できます。

CVSSv3: 6.4 - AV:A/AC:H/PR:H/UI:N/S:U/C:H/I:H/A:H
CVE ID: CVE-2020-7014

緩和に関するその他の注意事項

Liferay の Elasticsearch および Enterprise Search コネクタは、そのままでは API キーを使用していません。

検索エンジンの互換性マトリックス

互換性のあるコネクタのバージョンや必要なパッチ レベルなど、Elasticsearch の互換性の詳細については、 here の情報を参照してください。

ベンダー リファレンス

Elastic、Elasticsearch、および X-Pack は、米国で登録された Elasticsearch BV の商標です。 そして他の国で。

On this page