Elastic StackおよびLiferay Enterprise Searchのセキュリティアドバイザリ：CVE-2022-23711
以下の問題は、Liferay DXP、Liferay Enterprise Search環境、およびElastic Stackの機能に影響を与える可能性があります。
影響を受ける可能性のある展開
- Kibana 7.8.0-7.17.2
脆弱性情報
Kibanaにおける機密情報の漏洩（ESA-2022-05）
Kibanaの脆弱性により、Elastic Stackの監視に関連する機密情報がKibanaのページソースに漏洩する可能性があります。 Elastic Stack の監視 機能を使用すると、Elasticsearch クラスターの健全性とパフォーマンスを常に把握できます。 脆弱性のあるKibanaインスタンスで認証を行わなくても、公開されている情報を閲覧できます。
Elastic Stack の監視機能が公開されるのは、Elastic Stack 監視のリモート UI として Kibana を構成するために、オプションの monitoring.ui.elasticsearch.* 設定のいずれかを設定したユーザーのみです。
Kibanaにおける同様の脆弱性により、ページソースに含まれるその他の機密性の低いアプリケーション内部情報が漏洩する可能性がある。 影響を受けるバージョン:
- Elastic Stack の監視情報の漏洩は、バージョン 7.8.0 ～ 7.17.2 & 8.0.0 ～ 8.1.2 に影響します。
- その他のアプリケーション内部情報の漏洩は、バージョン 7.2.1 ～ 7.17.2 & 8.0.0 ～ 8.1.2 に影響します。
影響を受けない:
- Elastic Cloudサービスのデプロイメントには影響はありません。 Stack Monitoring ユーザーは、特別なリモート Kibana 構成を選択するためにデフォルトの Elasticsearch 認証情報を上書きしていない限り、Stack Monitoring の問題の影響を受けません。
解決策と緩和策:
この問題はバージョン7.17.3および8.1.3で解決されています。
修正版にアップグレードできない Stack Monitoring ユーザーの場合は、リモート Kibana インスタンスがアップグレードされるまで、リモート Kibana インスタンスの設定から監視設定 monitoring.ui.elasticsearch.*を削除することをお勧めします。 これらのユーザーは、監視対象のElasticsearchクラスターに直接接続されているKibanaインスタンスを介して、スタック監視UIに安全にアクセスできます。
重症度評価:
スタックモニタリングのデータ露出度：高（8.2）CVSS：3.1/AV：A/AC：L/PR：N/UI：N/S：C/C：H/I：L/A：N
その他のアプリケーション内部情報: 低 (0.0) CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:N/I:N/A:N
CVE ID:
CVE-2022-23711
検索エンジン互換性マトリックス
互換性のあるコネクタのバージョンや必要なパッチレベルなど、Elasticsearchとの詳細な互換性については、こちらの情報 を参照してください。
ベンダー紹介
https://discuss.elastic.co/t/kibana-7-17-3-and-8-1-3-security-update/302826
Elastic、Elasticsearch、およびX-Packは、米国で登録されたElasticsearch BVの商標です。 そして他の国々でも。