ElasticsearchおよびLiferay Enterprise Searchのセキュリティアドバイザリ：2021年1月15日
以下の問題は、Liferay DXPおよびエンタープライズ検索環境の機能に影響を与える可能性があります。 この通知では、Liferay Enterprise Searchのサブスクライバー向けに、最新の互換性変更内容と必要な対応について説明します。
影響を受ける可能性のある展開
- Elastic Stack 7.9.x および 7.10.2 より前のバージョン上の Liferay DXP 7.3
- Elastic Stack 7.7.x および 7.10.2 より前のバージョンにおける Liferay DXP 7.2
脆弱性情報
Elasticsearchの認証ヘッダー保存に関する問題（ESA-2021-01）
Elasticsearchの非同期検索APIに情報漏洩の脆弱性が発見されました。 非同期検索を実行するユーザーは、HTTPヘッダーを保存します。 Elasticsearchの.tasksインデックスを読み取る権限を持つユーザーは、クラスタ内の他のユーザーの機密性の高いリクエストヘッダーを取得できる可能性があります。
影響を受けるバージョン：
Elasticsearchのバージョン7.7.0以降7.10.2より前のすべてのバージョン
解決策と緩和策：
ユーザーはElasticsearch 7.10.2にアップグレードする必要があります。 この問題に対する既知の回避策はありません。
CVSSv3: 4.8 - AV:N/AC:H/PR:H/UI:R/S:U/C:H/I:L/A:N
CVE ID: CVE-2021-22132
追加情報
LiferayのElasticsearchコネクタおよび標準機能は、Elasticsearchの非同期検索APIを使用していません。 さらに、DXP 7.2以前のバージョンでは、Liferay DXPとElasticsearchノード間の通信はHTTPではなく、トランスポート層を介して行われます。 Liferay DXP で利用可能な Elasticsearch コネクタの技術的な概要については、こちらの記事をご参照ください。
検索エンジン互換性マトリックス
互換性のあるコネクタのバージョンや必要なパッチレベルなど、Elasticsearchとの詳細な互換性については、こちらの情報 を参照してください。
ベンダー紹介
- https://discuss.elastic.co/t/elasticsearch-7-10-2-security-update/261164
- https://www.elastic.co/guide/en/elasticsearch/reference/7.10/release-notes-7.10.2.html
Elastic、Elasticsearch、およびX-Packは、米国で登録されたElasticsearch BVの商標です。 そして他の国々でも。