ご覧のページは、お客様の利便性のために一部機械翻訳されています。また、ドキュメントは頻繁に更新が加えられており、翻訳は未完成の部分が含まれることをご了承ください。最新情報は都度公開されておりますため、必ず英語版をご参照ください。翻訳に問題がある場合は、こちらまでご連絡ください。

ElasticsearchおよびLiferay Enterprise Searchのセキュリティアドバイザリ：2020年4月2日

公開日：2020年4月2日

以下の問題は、お客様のLiferay DXPおよびエンタープライズ検索環境の機能に影響を与える可能性があります。この通知では、Liferay Enterprise Searchのサブスクライバー向けに、最新の互換性変更内容と必要な対応について説明します。

影響を受ける可能性のある展開

Elastic Stack 6.7、7.x、またはそれ以降のバージョン上で動作するLiferay DXP 7.0、7.1、および7.2。

脆弱性情報

（ベンダー提供情報）

Elasticsearch認証APIキーの権限昇格（ESA-2020-02）

Elasticsearchのバージョン6.7.0～6.8.7および7.0.0～7.6.1には、攻撃者がAPIキーを作成できる場合、権限昇格の脆弱性が存在します。 APIキーを生成できる攻撃者は、一連の手順を実行することで、高い権限を持つAPIキーを生成することができます。

影響を受けるバージョン 6.7.0 から 6.8.7 および 7.0.0 から 7.6.1 までのすべてのバージョンがこの問題の影響を受けます。

解決策と緩和策 ユーザーは Elasticsearch バージョン 7.6.2 または 6.8.8 にアップグレードする必要があります。アップグレードできないユーザーは、elasticsearch.yml ファイルで xpack.security.authc.api_key.enabled を false に設定して API キーを無効にすることで、この欠陥を軽減できます。

CVE ID: CVE-2020-7009

https://www.elastic.co/guide/en/elasticsearch/reference/6.8/release-notes-6.8.8.html https://www.elastic.co/guide/en/kibana/6.8/release-notes-6.8.8.html

Elastic、Elasticsearch、およびX-Packは、米国で登録されたElasticsearch BVの商標です。そして他の国々でも。

ElasticsearchおよびLiferay Enterprise Searchのセキュリティアドバイザリ：2020年4月2日

影響を受ける可能性のある展開

脆弱性情報

追加の緩和策に関する注記

検索エンジン互換性マトリックス

ベンダー紹介