ご覧のページは、お客様の利便性のために一部機械翻訳されています。また、ドキュメントは頻繁に更新が加えられており、翻訳は未完成の部分が含まれることをご了承ください。最新情報は都度公開されておりますため、必ず英語版をご参照ください。翻訳に問題がある場合は、こちらまでご連絡ください。

Elastic StackおよびLiferay Enterprise Searchのセキュリティアドバイザリ：CVE-2024-43706、CVE-2025-2135、CVE-2025-25012（Kibana）

公開日：2025年6月25日

以下の問題は、お客様のLiferay-Elasticスタックに影響を与える可能性があります。

脆弱性情報

CVE	重大度	脆弱性の概要	対象製品	影響を受けるバージョン	解決策 & 緩和策
CVE-2025-2135	CVSSv3.1: 9.9 (重大)	Chromiumの型混同による、細工されたHTMLページを介したKibanaヒープの破損	キバナ	バージョン7.17.28まで、8.0.0から8.17.7まで、8.18.0から8.18.2まで、および9.0.0から9.0.2まで	バージョン7.17.29、8.17.8、8.18.3、または9.0.3にアップグレードしてください。詳細はこちら
CVE-2024-43706	CVSSv3.1: 7.6 (高)	Kibanaの不適切な認証	キバナ	バージョン8.12.0以前およびバージョン8.12.0を含む。	この問題はバージョン8.12.1以降で解決されています。詳細はこちら
CVE-2025-25012	CVSSv3.1: 4.3 (中程度)	Kibana オープンリダイレクト	キバナ	バージョン7.17.28まで、8.0.0から8.17.7まで、8.18.0から8.18.2まで、および9.0.0から9.0.2まで	この問題は、バージョン7.17.29、8.17.8、8.18.3、または9.0.3で解決されています。詳細はこちら

さらに、Kibana バージョン 7.17.29、8.18.3、および 9.0.3 には、更新されたバージョンの Node.js (v20.19.2) が同梱されています。これは、 2025 年 5 月 14 日水曜日のセキュリティリリースアドバイザリに従って、次の Node.js の脆弱性に対する修正を含む修正バージョンの 1 つとしてマークされています。 CVE-2025-23165、 CVE-2025-23166、 CVE-2025-2316。参考文献：

追加情報

Elasticsearchに影響を与えるCVEに関する一般的な注意事項

Liferay DXP Tomcat バンドルおよび Docker イメージに含まれる Elasticsearch 7 サーバーランタイム (別名 Sidecar Elasticsearch、 [Liferay-Home]/elasticsearch-sidecarにあります) は、本番環境での使用には適しておらず、サポートもされていません。これは、ローカルでの開発およびテストの便宜のためにのみ提供されています。代わりに、 Liferay を構成して、Elasticsearch に自己管理型のスタンドアロンサーバーまたはサーバーノードのクラスタとして接続します。

Sidecar Elasticsearch（バンドルされているすべてのプラグインとライブラリを含む）は、Liferayのホットフィックスによるパッチ適用やアップデートはできません。 Liferayは、Elasticが公開しているセキュリティアラートに記載されている情報以外に、脆弱性や悪用可能性に関する追加情報を保有していません。 Liferay DXP TomcatバンドルまたはDockerイメージを分析する際、Sidecar Elasticsearchランタイムが含まれているため、セキュリティスキャンで誤った脆弱性が報告される可能性があります。 Liferay DXP Docker イメージの -slim バージョンには、Sidecar Elasticsearch ランタイムは含まれていません。

Elasticsearchの脆弱性は、Elastic社による新しいリリースでのみ対処可能です。と互換性のある Elasticsearch バージョンおよび Sidecar Elasticsearch バージョンは、新しい Liferay DXP 四半期リリースで定期的に更新されます。お客様には、Elasticsearchのインストール環境を最新の互換性のあるバージョンにアップデートすることをお勧めします。

Kibanaに影響を与えるCVEに関する一般的な注意事項

Liferay DXP および Kibana の UI をプロキシとして Liferay DXP に統合する Liferay Enterprise Search Monitoring アプリケーションには、Kibana アプリケーション自体のバイナリは含まれていません。 Liferayのホットフィックスをインストールしたり、新しい四半期リリースにアップグレードしたりすることで、Kibanaにパッチを適用したり、アップデートしたりすることはできません。さらに、Liferayは、ベンダー（Elastic）が発行した公開セキュリティアラートで共有されている情報以外に、脆弱性とその悪用可能性に関する詳細な情報を持ち合わせていません。

Kibanaの脆弱性は、Elasticによる新しいリリースでのみ対処可能です。お客様には、Elasticsearch および Kibanaを互換性のある最新バージョンに更新することをお勧めします。

検索エンジンとの互換性

Liferayは、お客様が本番環境のElastic Stackを最新の互換性のあるバージョンにアップグレードすることを推奨します。互換性のあるコネクタのバージョン、必要な四半期ごとのリリース／アップデートバージョン、およびパッチレベルなど、Elasticsearch の詳細な互換性については、こちらの情報をご参照ください。

Elastic、Elasticsearch、およびX-Packは、米国で登録されたElasticsearch BVの商標です。そして他の国々でも。