ご覧のページは、お客様の利便性のために一部機械翻訳されています。また、ドキュメントは頻繁に更新が加えられており、翻訳は未完成の部分が含まれることをご了承ください。最新情報は都度公開されておりますため、必ず英語版をご参照ください。翻訳に問題がある場合は、 こちら までご連絡ください。
Elastic Stack および Liferay Enterprise Search のセキュリティ アドバイザリ: CVE-2024-23445、CVE-2024-37279、CVE-2024-37280、CVE-2024-23442、CVE-2024-23443、CVE-2024-2887、CVE-2024-37281、CVE-2024-37287、CVE-2024-23444
以下の問題は、お客様のLiferay-Elasticスタックに影響を与える可能性があります。
| CVE | 重大度 | 脆弱性の概要 | 対象製品 | 影響を受けるバージョン | 解決策 & 緩和策 |
|---|---|---|---|---|---|
| CVE-2024-37279 | CVSSv3: 4.3（中程度） | Kibanaのアクセス制御に不具合が発生しています | キバナ | 8.6.3～8.13.4 | もっと詳しく知る。 |
| CVE-2024-23445 | CVSSv3: 6.5（中程度） | Elasticsearchリモートクラスタ検索クロスクラスタAPIキーの制限が不十分です | Elasticsearch | 8.10.0～8.14.0 | もっと詳しく知る。 |
| CVE-2024-37280 | CVSSv3: 4.9（中程度） | ElasticsearchのStackOverflow脆弱性 | Elasticsearch | 8.13.1～8.13.4 | もっと詳しく知る。 |
| CVE-2024-23443 | CVSSv3.1: 4.9（中程度） | Kibanaのリソース消費が制御されていない | キバナ | 7.x（7.17.22より前）、8.x（8.14.0より前） | もっと詳しく知る |
| CVE-2024-23442 | CVSSv3: 6.1（中程度） | Kibanaのオープンリダイレクトの問題 | キバナ | 7.x（7.17.22より前）、8.x（8.14.0より前） | もっと詳しく知る。 |
| CVE-2024-2887 | CVSSv3: 9.9 (重大) | Kibana RCE はクロムタイプの混乱が原因で発生する | キバナ | 7.x（7.17.22より前）、8.x（8.14.0より前） | もっと詳しく知る。 |
| CVE-2024-37281 | CVSSv3: 6.5（中程度） | Kibanaのサービス拒否問題 | キバナ | 7.x（7.17.23より前）、8.x（8.14.0より前） | もっと詳しく知る。 |
| CVE-2024-23444 | CVSSv3: 4.9（中程度） | Elasticsearch elasticsearch-certutil csr が秘密鍵の暗号化に失敗しました | Elasticsearch | 7.x（7.17.23より前）、8.x（8.13.0より前） | もっと詳しく知る。 |
| CVE-2024-37287 | CVSSv3.1: 9.1（重大） | Kibanaにおけるプロトタイプ汚染による任意のコード実行 | キバナ | 7.7.0～7.17.22、8.x（8.14.2より前） | もっと詳しく知る。 |
追加情報
更新 (2024 年 9 月 9 日): Elasticsearch 8.15 が、該当する Liferay バージョンの検索エンジン互換性マトリックスに追加されました。
ElasticsearchとKibana 8.14および8.15との互換性を検証するためのテストプロセスは現在 開始予定 となっており、更新された検索エンジン互換性マトリックスは8月下旬から9月上旬に公開される予定です。
- Kibana に影響を与える CVE について: Kibana の UI をプロキシとして Liferay に統合するために使用される Liferay Enterprise Search Monitoring アプリケーションには、Kibana アプリケーション自体のバイナリは含まれていません。 Liferayのホットフィックスをインストールしたり、新しい四半期リリースにアップグレードしたりすることによるKibanaのパッチ適用やアップデートは適用されません。 さらに、Liferayは、ベンダー（Elastic）が発行した公開セキュリティアラートで共有されている情報以外に、脆弱性とその悪用可能性に関する詳細な情報を持ち合わせていません。
- CVE-2024-37280 に関して: Liferay の標準実装では、脆弱性の影響を受けるフィールドマッピングで「passthrough」型を使用していません。
- CVE-2024-23444 に関して: Liferay の Elasticsearch 統合は elasticsearch-certutil を直接使用しません。 このユーティリティは、セキュリティを有効にした状態でElasticsearchをセットアップおよび構成する際にのみ、ユーザーによって実行されます。
- CVE-2024-23445 に関して: Liferay の機能は、脆弱性の影響を受けるクロス クラスタ API キーを使用していません。
バンドルされている Sidecar Elasticsearch サーバー (開発およびテストには便利ですが、本番環境には適しておらず、サポートもされていません) の次回の予定されている更新は、 で追跡できます。
検索エンジンとの互換性
従来通り、Liferayは顧客に対し、本番環境のElastic Stackを最新の互換性のあるリリースである7.x/8.xにアップグレードすることを推奨しています。 互換性のあるコネクタのバージョンや必要な更新/パッチレベルなど、Elasticsearchとの詳細な互換性については、こちらの情報 を参照してください。