ご覧のページは、お客様の利便性のために一部機械翻訳されています。また、ドキュメントは頻繁に更新が加えられており、翻訳は未完成の部分が含まれることをご了承ください。最新情報は都度公開されておりますため、必ず英語版をご参照ください。翻訳に問題がある場合は、こちらまでご連絡ください。

ElasticsearchおよびLiferay Enterprise Searchのセキュリティアドバイザリ：2020年8月5日

公開日：2020年8月5日

以下の問題は、Liferay DXPおよびエンタープライズ検索環境の機能に影響を与える可能性があります。この通知では、Liferay Enterprise Searchのサブスクライバー向けに、最新の互換性変更内容と必要な対応について説明します。

影響を受ける可能性のある展開

Elastic Stack 6.x または 7.x 上で Kibana 6.x/7.x を使用する Liferay DXP 7.0、7.1、および 7.2

脆弱性情報

（ベンダー提供情報）

Kibanaの正規表現によるサービス拒否攻撃の脆弱性（ESA-2020-09）

Kibanaのバージョン6.8.11および7.8.1より前のバージョンには、Timelionにおけるサービス拒否（DoS）の脆弱性が存在します。攻撃者は、Kibanaユーザーが閲覧した際にKibanaプロセスが大量のCPUを消費し、応答しなくなるようなURLを作成することができる。

影響を受けるバージョン 7.8.1 および 6.8.11 より前のすべてのバージョン

解決策と緩和策 ユーザーは Kibana バージョン 7.8.1 または 6.8.11 にアップグレードする必要があります。アップグレードできないユーザーは、kibana.yml設定ファイルでtimelion.enabledをfalseに設定することでTimelionを無効にできます。

CVSSv3: 4.8 - AV:N/AC:H/PR:L/UI:R/S:U/C:N/I:N/A:H

CVE ID: CVE-2020-7016

Kibanaのクロスサイトスクリプティング（XSS）脆弱性（ESA-2020-10）

Kibanaの地域マップ可視化機能には、保存型XSS脆弱性が存在します。地域マップの視覚化を編集または作成できる攻撃者は、機密情報を入手したり、地域マップの視覚化を閲覧するKibanaユーザーに代わって破壊的な操作を実行したりする可能性があります。

影響を受けるバージョン Kibana のすべてのバージョンがこの脆弱性の影響を受けます

解決策と緩和策 ユーザーは Kibana バージョン 7.8.1 または 6.8.11 にアップグレードする必要があります。アップグレードできないユーザーは、kibana.yml ファイルで「xpack.maps.enabled: false」、「region_map.enabled: false」、「tile_map.enabled: false」を設定することで、マップの視覚化を無効にできます。

バージョン 6.7.0 以降を実行しているユーザーは、Kibana がデフォルトのコンテンツセキュリティポリシーを最新のブラウザで使用するように構成されている場合、この XSS 脆弱性によるリスクが軽減されます。 CSPはXSS攻撃を防ぐものの、根本的なHTMLインジェクションの脆弱性を軽減するものではありません。

CVSSv3: 6.7 - AV:N/AC:H/PR:L/UI:R/S:U/C:H/I:H/A:L CVE ID: CVE-2020-7017

ElasticsearchおよびLiferay Enterprise Searchのセキュリティアドバイザリ：2020年8月5日

影響を受ける可能性のある展開

脆弱性情報

Kibanaの正規表現によるサービス拒否攻撃の脆弱性（ESA-2020-09）

Kibanaのクロスサイトスクリプティング（XSS）脆弱性（ESA-2020-10）

追加情報

検索エンジン互換性マトリックス

ベンダー紹介