Elastic StackおよびLiferay Enterprise Searchのセキュリティアドバイザリ：CVE-2024-12539
公開日：2025年2月27日 / 更新日：2025年3月11日
以下の問題は、お客様のLiferay-Elasticスタックに影響を与える可能性があります。
| CVE | 重大度 | 脆弱性の概要 | 対象製品 | 影響を受けるバージョン | 解決策 & 緩和策 |
|---|---|---|---|---|---|
| CVE-2024-12539 | CVSSv4.0: 6 (中程度) | Elasticsearch 認証エラー | Elasticsearch | バージョン8.16.0および8.16.1 | この問題はバージョン8.16.2および8.17.0で解決されています。 |
追加情報
Liferay DXPは、この脆弱性の影響を受けるElasticsearchのドキュメントレベルセキュリティ機能を使用していません。
Elasticsearch に影響を与える CVE に関する一般的な注意: Liferay DXP Tomcat バンドルおよび Docker イメージに含まれる Elasticsearch サーバー ランタイム (別名 Sidecar Elasticsearch は [Liferay-Home]/elasticsearch-sidecarにあります) は、本番環境での使用には適しておらず、サポートもされていません。 これは、ローカルでの開発とテストにのみ便利です。 代わりに、 Liferay を構成して、Elasticsearch に自己管理型のスタンドアロン サーバーまたはサーバー ノードのクラスタとして接続します。
Sidecar Elasticsearch（バンドルされているすべてのプラグインとライブラリを含む）は、Liferayのホットフィックスによるパッチ適用やアップデートはできません。 Liferayは、Elasticが公開しているセキュリティアラートに記載されている情報以外に、脆弱性や悪用可能性に関する追加情報を保有していません。 Sidecar Elasticsearch のバージョンは、Liferay DXP の四半期ごとの最新リリースに合わせて定期的に更新されます。
検索エンジンとの互換性
Liferayは、お客様が本番環境のElastic Stackを最新の互換性のあるバージョンにアップグレードすることを推奨します。 互換性のあるコネクタのバージョン、必要な四半期ごとのリリース／アップデートバージョン、およびパッチレベルなど、Elasticsearch の詳細な互換性については、こちらの情報をご参照ください。
- Elastic、Elasticsearch、およびX-Packは、米国で登録されたElasticsearch BVの商標です。 そして他の国々でも。