ElasticsearchおよびLiferay Enterprise Searchのセキュリティアドバイザリ：2020年1月16日
以下の問題は、お客様のLiferay DXPおよびエンタープライズ検索環境の機能に影響を与える可能性があります。 この通知では、Liferay Enterprise Searchのサブスクライバー向けに、最新の互換性変更内容と必要な対応について説明します。
影響を受ける可能性のある展開
- Elastic Stack 6 または 7 上で Kibana を使用して Liferay DXP 7.0、7.1、および 7.2 を実行する
脆弱性情報
（ベンダー提供情報）
Kibana XSS (ESA-2019-17)
Kibanaのバージョン6.8.6および7.5.1より前のバージョンには、座標および領域マップの視覚化機能にクロスサイトスクリプティング（XSS）の脆弱性が存在します。 座標マップの可視化を作成する能力を持つ攻撃者は、悪意のある可視化を作成する可能性がある。 別のKibanaユーザーがそのビジュアライゼーション、またはビジュアライゼーションを含むダッシュボードを閲覧した場合、被害者のブラウザでJavaScriptが実行される可能性があります。
Kibanaでは、バージョン6.7.0および7.0.0以降、コンテンツセキュリティポリシー（CSP）がデフォルトで有効になっていることにご注意ください。 Kibanaがサポートするほとんどのブラウザは、CSP設定を尊重します。 CSPはこの脆弱性を利用して攻撃者が任意のJavaScriptを実行することを防ぎますが、攻撃者は依然として任意のHTMLをページに挿入することができます。 kibana.yml ファイルに「csp.strict: true」を設定することで、CSP ルールを適用しないブラウザを禁止できます。
影響を受けるバージョン Kibana バージョン 7.5.1 および 6.8.6 より前のバージョン
解決策と緩和策:
ユーザーは Elasticsearch バージョン 7.5.1 または 6.8.6 にアップグレードする必要があります。 アップグレードできないユーザーは、kibana.yml で xpack.maps.enabled: false、 region_map.enabled: false、および tile_map.enabled: falseを設定することで、マップの視覚化を無効にできます。
CVSSv3: 7.3 - AV:N/AC:L/PR:L/UI:R/S:U/C:H/I:H/A:N
CVE ID: CVE-2019-7621
検索エンジン互換性マトリックス
互換性のあるコネクタのバージョンや必要なパッチレベルなど、Elasticsearchとの詳細な互換性については、こちらの情報 を参照してください。
ベンダーリファレンス
https://discuss.elastic.co/t/elastic-stack-6-8-6-and-7-5-1-security-update/212390
Elastic、Elasticsearch、およびX-Packは、米国で登録されたElasticsearch BVの商標です。 そして他の国々でも。