Elasticsearch 承認ヘッダー ストレージの問題 (ESA-2021-01)

Elasticsearch 非同期検索 API に情報漏えいの欠陥が見つかりました。 非同期検索を実行するユーザーは、HTTP ヘッダーを保存します。 .tasks インデックスを読み取る機能を持つ Elasticsearch ユーザーは、クラスター内の他のユーザーの機密要求ヘッダーを取得する可能性があります。

影響を受けるバージョン:

7.7.0 以降および 7.10.2 より前のすべての Elasticsearch バージョン

解決策と軽減策:

ユーザーは、Elasticsearch 7.10.2 にアップグレードする必要があります。 この問題に対する既知の回避策はありません。

CVSSv3: 4.8 - AV:N/AC:H/PR:H/UI:R/S:U/C:H/I:L/A:N

CVE ID: CVE-2021-22132

追加情報

Liferay の Elasticsearch コネクタとすぐに使える機能は、Elasticsearch の非同期検索 API を使用していません。 さらに、Liferay DXP と Elasticsearch ノード間の通信は、DXP 7.2 以前のバージョンの HTTP ではなく、トランスポート レイヤーを介して行われます。 Liferay DXP で利用可能な Elasticsearch コネクタの技術概要 については、この 記事 を参照してください。