Elastic StackおよびLiferay Enterprise Searchのセキュリティアドバイザリ：CVE-2022-23708、CVE-2022-23709、CVE-2022-23710
以下の問題は、Liferay DXP、Liferay Enterprise Search環境、およびElastic Stackの機能に影響を与える可能性があります。
影響を受ける可能性のある展開
- Elasticsearch 7.16.0-7.17.0
- Kibana 7.7.0-7.17.0
脆弱性情報
Elasticsearchの権限昇格問題（ESA-2022-02）
Elasticsearch 7.17.0のアップグレードアシスタントに欠陥が発見されました。バージョン6.xから7.xにアップグレードすると、セキュリティインデックスに組み込まれている保護機能が無効になり、「*」インデックス権限を持つ認証済みユーザーがこのインデックスにアクセスできてしまうというものです。 影響を受けるバージョン:
バージョン7.16.0から7.17.0まで。 解決策と緩和策:
影響を受けるバージョンでクラスターを運用しており、以前に6.xからアップグレードしたユーザーは、7.17.1にアップグレードする必要があります。 6.x からアップグレードを予定しているユーザーは、6.x からバージョン 7.16 から 7.17.0 へのアップグレードは行わず、6.x からのアップグレードには 7.17.1 以降を使用してください。 CVSSv3:
6.8 (中程度) - AV:N/AC:H/PR:L/UI:N/S:U/C:H/I:H/A:N CVE ID:
CVE-2022-23708
Kibanaにおける認証情報の欠落問題（ESA-2022-03）
Kibanaに、稼働状況機能への読み取りアクセス権を持つユーザーがアラートルールを変更できる脆弱性が発見されました。 この権限を持つユーザーは、新しいアラートルールを作成したり、既存のルールを上書きしたりすることができます。 ただし、新規または変更されたルールは有効にならず、この権限を持つユーザーはアラートコネクタを変更できません。 これは事実上、Readユーザーが既存のアラートルールを無効にできることを意味します。 影響を受けるバージョン:
バージョン7.7.0から7.17.0、および8.0.0。 解決策と緩和策:
この問題はバージョン7.17.1、8.01、および8.1.0で修正されています。
対策として、影響を受けるバージョンのユーザーは、アラートの作成/変更ができないはずのユーザーにUptime機能への読み取りアクセス権を付与しないようにし、組み込みの閲覧者ロールの使用を避けることができます。 CVSSv3:
4.3 (中程度) - AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:L/A:N CVE ID:
CVE-2022-23709
Kibanaのクロスサイトスクリプティング（XSS）脆弱性（ESA-2022-04）
データプレビューペイン（以前はインデックスパターンプレビューペインと呼ばれていました）にクロスサイトスクリプティング（XSS）の脆弱性が発見されました。この脆弱性により、被害者のブラウザで任意のJavaScriptコードが実行される可能性があります。 影響を受けるバージョン:
自己管理デプロイメントの場合、この問題はバージョン 7.15.0、7.15.1、および 7.15.2 に影響します Elastic Cloud Services の場合、この問題はバージョン 7.15.0 ～ 7.17.0、および 8.0.0 に影響します。 解決策と緩和策:
この問題はバージョン7.17.1、8.0.1、および8.1.0で修正されています。
対策として、影響を受けるバージョンのユーザーは、インデックスパターンを作成/変更できないはずのユーザーに、インデックスパターン管理機能および保存済みオブジェクト管理機能への「すべてのアクセス」権限を付与しないようにしてください。 注：インデックスパターンは、バージョン8.0以降、データビューと呼ばれます。 CVSSv3:
5.4 (中程度) - AV:N/AC:H/PR:L/UI:R/S:U/C:H/I:L/A:N CVE ID:
CVE-2022-23710
追加情報
Liferay DXP の Sidecar Elasticsearch サーバー (ローカル開発およびテスト目的のみに適しています!) は影響を受けません。これは、既存の Sidecar インストールが直接アップグレードされないためです ( Elasticsearch アップグレードという意味では)。代わりに、Sidecar Elasticsearch サーバーのバージョンをアップグレードするたびに、常に新しいディストリビューションが [Liferay Home]/elasticsearch-sidecar (DXP 7.4) または [Liferay Home]/elasticsearch7 (DXP 7.3) に展開されます。 （例えば、 7.14.1 から 7.17.0まで）または Liferay DXP が Sidecar モードを使用するように構成されていて、ランタイム フォルダーが存在しない場合。 さらに、サイドカーElasticsearchサーバーは、X-Packセキュリティ機能を無効にして動作するようにプログラム的に構成されているため、セキュリティインデックスを作成することはできません。
検索エンジン互換性マトリックス
Elasticsearch 7.17.x が、互換性のあるバージョン一覧に最近追加されました。 互換性のあるコネクタのバージョンや必要なパッチレベルなど、Elasticsearchとの詳細な互換性については、こちらの情報 を参照してください。
ベンダー紹介
https://discuss.elastic.co/t/elastic-stack-7-17-1-security-update/298447
Elastic、Elasticsearch、およびX-Packは、米国で登録されたElasticsearch BVの商標です。 そして他の国々でも。