ご覧のページは、お客様の利便性のために一部機械翻訳されています。また、ドキュメントは頻繁に更新が加えられており、翻訳は未完成の部分が含まれることをご了承ください。最新情報は都度公開されておりますため、必ず英語版をご参照ください。翻訳に問題がある場合は、こちらまでご連絡ください。

Elastic StackおよびLiferay Enterprise Searchのセキュリティアドバイザリ：CVE-2023-1370

以下の問題は、Liferay DXP、Liferay Enterprise Search環境、およびElastic Stackの機能に影響を与える可能性があります。

脆弱性情報

この問題は、OpenID Connect認証レルムまたはJWT認証レルムのいずれかを少なくとも1つ設定しているユーザーにのみ影響します。

Elasticsearchにサービス拒否の脆弱性が発見されました。悪意を持って作成されたJWTが提供された場合、サービスが利用できなくなる可能性があります。これは、ネストされた配列を安全でない方法で解析する推移的依存関係 json-smart 41 を使用しているためです。

影響を受けるバージョン:

Elasticsearch バージョン 7.2.0 以降 7.17.11 以前、および 8.0.0 以降 8.8.2 以前

解決策と緩和策:

この問題はバージョン8.8.2および7.17.11で解決されています。

CVSSv3: 7.5 (高) - CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H

CVE ID: CVE-2023-1370

互換性のあるコネクタのバージョンや必要なパッチレベルなど、Elasticsearchとの詳細な互換性については、こちらの情報を参照してください。

Capabilities

Product

Education

Knowledge Base