以下の問題は、Liferay DXPおよびEnterprise Searchの環境の機能に影響を与える可能性があります。 この通知は、最新の互換性変更の説明と、Liferay Enterprise Search Subscribersに必要なアクションを提供します。

影響を受ける可能性のあるデプロイメント

• Liferay DXP 7.0, 7.1, 7.2 on Elastic Stack 6 or 7 using Kibana

脆弱性情報

(ベンダーから提供されたもの)。

Kibana XSS (ESA-2019-17)

Kibana の 6.8.6 以前のバージョンおよび 7.5.1 には、座標および地域マップの視覚化にクロスサイトスクリプティング (XSS) の欠陥があります。 座標地図の可視化を作成する能力を持つ攻撃者が、悪意のある可視化を作成する可能性があります。 他のKibanaユーザーがそのビジュアライゼーションやビジュアライゼーションを含むダッシュボードを閲覧した場合、被害者のブラウザでJavaScriptが実行される可能性があります。

なお、Kibanaはバージョン6.7.0および7.0.0以降、コンテンツセキュリティポリシー（CSP）がデフォルトで有効になっています。 Kibanaがサポートするほとんどのブラウザは、CSPの設定を尊重します。 CSPは、この欠陥を利用して攻撃者が任意のJavaScriptを実行することを防ぎますが、攻撃者はページに任意のHTMLを注入することができます。 kibana.ymlで「csp.strict: true」を設定することで、CSPルールを適用しないブラウザを無効化することができます。

影響を受けるバージョン
Kibanaの7.5.1以前のバージョンと6.8.6以前のバージョン

解決策と緩和策:
ユーザーは Elasticsearch のバージョンを 7.5.1 または 6.8.6 にアップグレードしてください。 アップグレードできないユーザーは、kibana.yml で xpack.maps.enabled: false、 region_map.enabled: false、 tile_map.enabled: falseを設定して、地図の可視化を無効化できます。

CVSSv3: 7.3 - AV:N/AC:L/PR:L/UI:R/S:U/C:H/I:H/A:N

CVE ID CVE-2019-7621

検索エンジン互換性マトリックス

互換性のあるコネクタのバージョンや必要なパッチレベルなど、Elasticsearchの詳細な互換性については、こちらの情報（ ）をご参照ください。

ベンダリファレンス

https://discuss.elastic.co/t/elastic-stack-6-8-6-and-7-5-1-security-update/212390

---

Elastic、Elasticsearch、X-Packは、米国で登録されたElasticsearch BVの商標です。 を始めとする諸外国での