フィードバックを送信
Security Alerts
ご覧のページは、お客様の利便性のために一部機械翻訳されています。また、ドキュメントは頻繁に更新が加えられており、翻訳は未完成の部分が含まれることをご了承ください。最新情報は都度公開されておりますため、必ず英語版をご参照ください。翻訳に問題がある場合は、 こちら までご連絡ください。

Elastic StackおよびLiferay Enterprise Search（LES）のセキュリティアドバイザリ

2026年1月1日より、ElasticsearchのCVEは Liferayセキュリティレポート のページで公開されます。

Kibanaに影響を与える重大度「高」または「重大」の脆弱性、およびElastic StackとLiferay Enterprise Searchに関連するその他の重要なセキュリティアップデートについては、このページが引き続き有効になりますのでご注意ください。 以前と同様に、Elastic が公開したすべてのセキュリティアラートは、こちら で確認できます。

Elasticsearchに影響を与えるCVEに関する一般的な注意事項

LiferayのサイドカーElasticsearchランタイムでElasticsearchのCVEおよびその他のサードパーティCVEが検出されました

Liferay DXP Tomcat バンドルおよび Docker イメージに含まれる Elasticsearch サーバー ランタイム (別名 Sidecar Elasticsearch、 [Liferay-Home]/elasticsearch-sidecar / /opt/liferay/elasticsearch-sidecarにあります) は、本番環境での使用には適しておらず、サポートもされていません。 これは、ローカルでの開発およびテストの便宜のためにのみ提供されています。 代わりに、 Liferay を構成して、Elasticsearch に自己管理型のスタンドアロン サーバーまたはサーバー ノードのクラスタとして接続します。

Sidecar Elasticsearch（バンドルされているすべてのプラグインとライブラリを含む）は、Liferayのホットフィックスによるパッチ適用やアップデートはできません。 Liferayは、Elasticが公開しているセキュリティアラートに記載されている情報以外に、脆弱性や悪用可能性に関する追加情報を保有していません。 Liferay DXP TomcatバンドルまたはDockerイメージを分析する際、Sidecar Elasticsearchランタイムが含まれているため、セキュリティスキャンで誤った脆弱性が報告される可能性があります。

さらに、本番環境での Elasticsearch Sidecar の使用はサポートされていないため、ユーザーは elasticsearch-sidecar ディレクトリを削除するだけで、これらの脆弱なモジュールをバンドルから削除できます。 2024.q3.13 リリースのコマンド例:

  • wget ‘https://releases.liferay.com/dxp/2024.q3.13/liferay-dxp-tomcat-2024.q3.13-1734359202.zip'
  • unzip liferay-dxp-tomcat-2024.q3.13-1734359202.zip
  • rm -r ./liferay-dxp/elasticsearch-sidecar/

-slim Liferay DXP Docker イメージには、Sidecar Elasticsearch ランタイムは含まれていません。

Elasticsearchの脆弱性は、Elastic社による新しいリリースでのみ対処可能です。 と互換性のある Elasticsearch バージョン および Sidecar Elasticsearch バージョンは、新しい Liferay DXP 四半期リリースで定期的に更新されます。 お客様には、Elasticsearchのインストール環境を最新の互換性のあるバージョンにアップデートすることをお勧めします。

LiferayのElasticsearchコネクタでElasticsearchのCVEおよびその他のサードパーティCVEが検出されました

Liferay の com.liferay.portal.search.elasticsearch7.impl.jar OSGi モジュールに含まれる lib/elasticsearch-XYZjar および lib/elasticsearch-core-XYZjar のセキュリティ スキャン結果について: これらの JAR は、Liferay の Elasticsearch コネクタのクライアント依存関係としてのみ機能します。

Liferay DXPは、Elasticsearchをサーバーとして実行するためにこれらのライブラリを使用しません。 したがって、Elasticsearchサーバー側の機能に影響を与える検出されたCVEは、 誤検出 とみなされます。ただし、 Liferayセキュリティレポート のページで別途記載されている場合はこの限りではありません。

クライアントJARやコネクタに含まれるその他のサードパーティライブラリなど、Elasticsearchの他の依存関係に影響を与えるCVEについては、標準的なセキュリティ脆弱性ポリシーが引き続き適用されることにご注意ください。

Kibanaに影響を与えるCVEに関する一般的な注意事項

Liferay DXP および Kibana の UI をプロキシとして Liferay DXP に統合する Liferay Enterprise Search Monitoring アプリケーションには、Kibana アプリケーション自体のバイナリは含まれていません。 Liferayのホットフィックスをインストールしたり、新しい四半期リリースにアップグレードしたりすることで、Kibanaにパッチを適用したり、アップデートしたりすることはできません。 さらに、Liferayは、ベンダー（Elastic）が発行した公開セキュリティアラートで共有されている情報以外に、脆弱性とその悪用可能性に関する詳細な情報を持ち合わせていません。

Kibanaの脆弱性は、Elasticによる新しいリリースでのみ対処可能です。 お客様は、ElasticsearchおよびKibanaのインストールを最新の互換性のあるバージョン にアップデートすることをお勧めします。

勧告

ベンダー紹介

こちら で Elastic が公開したセキュリティ アラートを確認できます。

Elastic、Elasticsearch、およびX-Packは、米国で登録されたElasticsearch BVの商標です。 そして他の国々でも。