Elastic StackおよびLiferay Enterprise Searchのセキュリティアドバイザリ：CVE-2025-54988と「EDRのゼロデイ脆弱性」に対するElasticの対応
公開日：2025年9月15日
以下の問題は、お客様のLiferay-Elasticスタックに影響を与える可能性があります。
脆弱性情報
| CVE | 重大度 | 脆弱性の概要 | 対象製品 | 影響を受けるバージョン | 解決策 & 緩和策 |
|---|---|---|---|---|---|
| CVE-2025-54988 | CVSSv3.1: 8.8（高） | Apache TikaにおけるElasticsearch XML外部エンティティ（XXE）インジェクション（ESA-2025-14） | Elasticsearch | バージョン 8.18.0 ～ 8.18.5、8.19.0 ～ 8.19.2、9.0.0 ～ 9.0.5、9.1.0 ～ 9.1.2 | ユーザーはバージョン8.18.6、8.19.3、9.0.6、および9.1.3にアップグレードする必要があります。 詳細はこちら。 |
Liferay DXPに標準搭載されているElasticsearchコネクタと統合機能は、この脆弱性の影響を受けるElasticsearchのインジェスト添付ファイルプロセッサを使用していません。
「EDR 0-Day Vulnerability」ブログについては、Elastic の回答 をこちら で参照してください。
追加情報
Elasticsearchに影響を与えるCVEに関する一般的な注意事項
Liferay DXP Tomcat バンドルおよび Docker イメージに含まれる Elasticsearch サーバー ランタイム (別名 Sidecar Elasticsearch、 [Liferay-Home]/elasticsearch-sidecarにあります) は、本番環境での使用には適しておらず、サポートもされていません。 これは、ローカルでの開発およびテストの便宜のためにのみ提供されています。 代わりに、 Liferay を構成して、Elasticsearch に自己管理型のスタンドアロン サーバーまたはサーバー ノードのクラスタとして接続します。
Sidecar Elasticsearch（バンドルされているすべてのプラグインとライブラリを含む）は、Liferayのホットフィックスによるパッチ適用やアップデートはできません。 Liferayは、Elasticが公開しているセキュリティアラートに記載されている情報以外に、脆弱性や悪用可能性に関する追加情報を保有していません。 Liferay DXP TomcatバンドルまたはDockerイメージを分析する際、Sidecar Elasticsearchランタイムが含まれているため、セキュリティスキャンで誤った脆弱性が報告される可能性があります。 Liferay DXP Docker イメージの -slim バージョンには、Sidecar Elasticsearch ランタイムは含まれていません。
Elasticsearchの脆弱性は、Elastic社による新しいリリースでのみ対処可能です。 互換性のあるElasticsearchのバージョンとSidecar Elasticsearchのバージョンは、Liferay DXPの四半期ごとの新しいリリースに合わせて定期的に更新されます。 お客様には、Elasticsearchのインストール環境を最新の互換性のあるバージョンにアップデートすることをお勧めします。
Kibanaに影響を与えるCVEに関する一般的な注意事項
Liferay DXP および Kibana の UI をプロキシとして Liferay DXP に統合する Liferay Enterprise Search Monitoring アプリケーションには、Kibana アプリケーション自体のバイナリは含まれていません。 Liferayのホットフィックスをインストールしたり、新しい四半期リリースにアップグレードしたりすることで、Kibanaにパッチを適用したり、アップデートしたりすることはできません。 さらに、Liferayは、ベンダー（Elastic）が発行した公開セキュリティアラートで共有されている情報以外に、脆弱性とその悪用可能性に関する詳細な情報を持ち合わせていません。
Kibanaの脆弱性は、Elasticによる新しいリリースでのみ対処可能です。 お客様には、ElasticsearchおよびKibanaのインストール環境を最新の互換性のあるバージョンにアップデートすることをお勧めします。
検索エンジンとの互換性
Liferayは、お客様が本番環境のElastic Stackを最新の互換性のあるバージョンにアップグレードすることを推奨します。 互換性のあるコネクタのバージョン、必要な四半期ごとのリリース／アップデートバージョン、およびパッチレベルなど、Elasticsearch の詳細な互換性については、こちらの情報をご参照ください。
- Elastic、Elasticsearch、およびX-Packは、米国で登録されたElasticsearch BVの商標です。 そして他の国々でも。