Elastic Stack セキュリティアドバイザリ: CVE-2025-25009、CVE-2025-25017、CVE-2025-25018、CVE-2025-37727
以下の問題は、お客様のLiferay-Elasticスタックに影響を与える可能性があります。
脆弱性情報
| CVE | 重大度 | まとめ | 対象製品 | 影響を受けるバージョン | 解決策 & 緩和策 |
|---|---|---|---|---|---|
| CVE-2025-37727 | CVSSv3.1：中程度（5.3） | Elasticsearchのログファイルへの機密情報の挿入（ESA-2025-18） | Elasticsearch | 7.x: 7.0.0 から 7.17.29 までのすべてのバージョン 8.x: 8.0.0 から 8.18.7 までのすべてのバージョン 8.19.x: 8.19.0 から 8.19.4 までのすべてのバージョン | この問題はバージョン 8.18.8、 8.19.5 で解決されています。 詳細はこちら。 |
| CVE-2025-25009 | CVSSv3.1: 8.7 (高) | Kibanaのクロスサイトスクリプティング（XSS）脆弱性（ESA-2025-20） | キバナ | 7.x: 7.17.29 より前のすべてのバージョン 8.x: 8.0.0 から 8.18.7 までのすべてのバージョン 8.19.x: 8.19.0 から 8.19.4 までのすべてのバージョン | ユーザーは以下のバージョン以降にアップグレードする必要があります: 8.18.8、 8.19.5。 詳細はこちら。 |
| CVE-2025-25017 | CVSSv3.1: 8.2 (高) | Kibanaのクロスサイトスクリプティング（XSS）脆弱性（ESA-2025-16） | キバナ | 7.x: 7.0.0 から 7.17.29 までのすべてのバージョン 8.x: 8.0.0 から 8.18.7 までのすべてのバージョン 8.19.x: 8.19.0 から 8.19.3 までのすべてのバージョン | ユーザーはバージョン 8.18.8 または 8.19.4 にアップグレードする必要があります。 詳細はこちら。 |
| CVE-2025-25018 | CVSSv3.1：高（8.7） | Kibanaの保存型クロスサイトスクリプティング（XSS）脆弱性（ESA-2025-17） | キバナ | 7.x: 7.0.0 から 7.17.29 までのすべてのバージョン 8.x: 8.0.0 から 8.18.7 までのすべてのバージョン 8.19.x: 8.19.0 から 8.19.4 までのすべてのバージョン | ユーザーはバージョン 8.18.8 または 8.19.5 にアップグレードする必要があります。 詳細はこちら。 |
CVE-2025-37727に関して： Sidecar Elasticsearch サーバーでは X-Pack Security と監査ログの両方が無効になっているため、この脆弱性の前提条件が満たされていません。 したがって、Sidecar Elasticsearchランタイムを使用するローカル環境およびテスト専用のLiferay DXP環境は、CVE-2025-37727の影響を受けません。
Elastic Stack バージョン 7.x は、2025 年 4 月 15 日にメンテナンスが終了し、2026 年 1 月 15 日にサポートが終了します。 詳細はこちら。
追加情報
Elasticsearchに影響を与えるCVEに関する一般的な注意事項
Liferay DXP Tomcat バンドルおよび Docker イメージに含まれる Elasticsearch サーバー ランタイム (別名 Sidecar Elasticsearch、 [Liferay-Home]/elasticsearch-sidecarにあります) は、本番環境での使用には適しておらず、サポートもされていません。 これは、ローカルでの開発およびテストの便宜のためにのみ提供されています。 代わりに、 Liferay を構成して、Elasticsearch に自己管理型のスタンドアロン サーバーまたはサーバー ノードのクラスタとして接続します。
Sidecar Elasticsearch（バンドルされているすべてのプラグインとライブラリを含む）は、Liferayのホットフィックスによるパッチ適用やアップデートはできません。 Liferayは、Elasticが公開しているセキュリティアラートに記載されている情報以外に、脆弱性や悪用可能性に関する追加情報を保有していません。 Liferay DXP TomcatバンドルまたはDockerイメージを分析する際、Sidecar Elasticsearchランタイムが含まれているため、セキュリティスキャンで誤った脆弱性が報告される可能性があります。 Liferay DXP Docker イメージの -slim バージョンには、Sidecar Elasticsearch ランタイムは含まれていません。
Elasticsearchの脆弱性は、Elastic社による新しいリリースでのみ対処可能です。 互換性のあるElasticsearchのバージョンとSidecar Elasticsearchのバージョンは、Liferay DXPの四半期ごとの新しいリリースに合わせて定期的に更新されます。 お客様は、本番環境のElasticsearchを最新の互換性のあるバージョンにアップデートすることをお勧めします。
さらに、本番環境での Elasticsearch Sidecar の使用はサポートされていないため、ユーザーは elasticsearch-sidecar ディレクトリを削除するだけで、これらの脆弱なモジュールをバンドルから削除できます。 2024.q3.13 リリースのコマンド例:
- wget ‘https://releases.liferay.com/dxp/2024.q3.13/liferay-dxp-tomcat-2024.q3.13-1734359202.zip'
- unzip liferay-dxp-tomcat-2024.q3.13-1734359202.zip
- rm -r ./liferay-dxp/elasticsearch-sidecar/
-slim Liferay DXP Docker イメージには、Sidecar Elasticsearch ランタイムは含まれていません。
Kibanaに影響を与えるCVEに関する一般的な注意事項
Liferay DXP および Kibana の UI をプロキシとして Liferay DXP に統合する Liferay Enterprise Search Monitoring アプリケーションには、Kibana アプリケーション自体のバイナリは含まれていません。 Liferayのホットフィックスをインストールしたり、新しい四半期リリースにアップグレードしたりすることで、Kibanaにパッチを適用したり、アップデートしたりすることはできません。 さらに、Liferayは、ベンダー（Elastic）が発行した公開セキュリティアラートで共有されている情報以外に、脆弱性とその悪用可能性に関する詳細な情報を持ち合わせていません。
Kibanaの脆弱性は、Elasticによる新しいリリースでのみ対処可能です。 お客様には、ElasticsearchおよびKibanaのインストール環境を最新の互換性のあるバージョンにアップデートすることをお勧めします。
検索エンジンとの互換性
Liferayは、お客様が本番環境のElastic Stackを最新の互換性のあるバージョンにアップグレードすることを推奨します。 互換性のあるコネクタのバージョン、必要な四半期ごとのリリース／アップデートバージョン、およびパッチレベルなど、Elasticsearch の詳細な互換性については、こちらの情報をご参照ください。
Elastic、Elasticsearch、Kibana、およびX-Packは、米国で登録されたElasticsearch BVの商標です。 そして他の国々でも。