Kibana のパストラバーサルの問題 (ESA-2021-26)

特に Windows オペレーティングシステムにおいて、Kibana はユーザーが提供したパスを検証せず、.pbf ファイルを読み込んでいたことが発見されました。 このため、悪意のあるユーザーが Kibana ホストを任意にトラバースして、拡張子が .pbf で終わる内部ファイルを読み込むことが可能です。
本脆弱性を発見した Dominic Couture 氏に感謝します。

影響を受けるバージョン

7.9.0から7.15.1までの全バージョン

解決策と緩和策
Kibana バージョン 7.15.2 にアップグレードする必要があります。

CVSSv3: 3.1 - AV:N/AC:H/PR:L/UI:N/S:U/C:L/I:N/A:N
CVE ID: CVE-2021-37938

Kibanaの情報漏えいの問題 (ESA-2021-27)

Kibana の JIRA コネクタ & IBM Resilient コネクタを使用すると、意図的に公開を控えている可能性のある内部ホストの HTTP 応答データを返すことができることが判明しています。 この脆弱性を利用すると、コネクターを作成できる悪意のあるユーザーが、コネクターを利用して、クラスタからアクセスできるホストの限定されたHTTPレスポンスデータを閲覧することができます。

影響を受けるバージョン

7.8.0から7.15.1までのすべてのバージョン

ソリューションとミティゲーション。

Kibana バージョン 7.15.2 にアップグレードする必要があります。

CVSSv3: 4.1 - AV:N/AC:L/PR:H/UI:N/S:C/C:L/I:N/A:N
CVE ID: CVE-2021-37939

追加情報

Liferay の Elasticsearch コネクタとすぐに使える機能は、 API キーを使用していません。