ElasticsearchおよびLiferay Enterprise Searchのセキュリティアドバイザリ：2021年6月2日
以下の問題は、Liferay DXP、Liferay Enterprise Search環境、およびElastic Stackの機能に影響を与える可能性があります。
影響を受ける可能性のある展開
- Elastic Stack 6.x で Kibana バージョン 6.8.16 より前のバージョンを使用する場合
- Elastic Stack 7.x で Kibana 7.13.0 より前のバージョンを使用する場合
脆弱性情報
KibanaのURLリダイレクトの脆弱性（ESA-2021-12）
Kibanaのバージョン7.13.0および6.8.16より前のバージョンに、オープンリダイレクトの脆弱性が発見されました。 ログイン中のユーザーが悪意を持って作成されたURLにアクセスした場合、Kibanaがユーザーを任意のWebサイトにリダイレクトする可能性があります。
影響を受けるバージョン：
Kibanaのバージョン7.13.0および6.8.16より前のすべてのバージョン。
解決策と緩和策：
ユーザーはKibanaのバージョンを7.13.0または6.8.16にアップデートする必要があります。
CVSSv3 - 4.3: AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:N
CVE ID: CVE-2021-22141
CWE-601: 信頼できないサイトへの URL リダイレクト (‘オープンリダイレクト')
Kibanaの脆弱性報告（ESA-2021-13）
Kibanaには、レポート機能がダウンロード可能なレポートを生成するために使用するChromiumブラウザの組み込みバージョンが含まれています。 レポート生成権限を持つユーザーがこのブラウザで任意のHTMLをレンダリングできる場合、既知のChromiumの脆弱性を悪用してさらなる攻撃を行う可能性があります。 Kibanaには、このブラウザが任意のコンテンツを表示することを防ぐための様々な保護機能が組み込まれています。
影響を受けるバージョン：
Kibana 7.0.0 以降 7.13.0 より前のすべてのバージョン
解決策と緩和策：
ユーザーはKibanaのバージョンを7.13.0にアップデートする必要があります。
CVSSv3 - 6.6: AV:N/AC:H/PR:H/UI:N/S:U/C:H/I:H/A:H
CVE ID: CVE-2021-22142
CWE-1104: 保守されていないサードパーティ製コンポーネントの使用
検索エンジン互換性マトリックス
互換性のあるコネクタのバージョンや必要なパッチレベルなど、Elasticsearchとの詳細な互換性については、こちらの情報 を参照してください。
ベンダー紹介
https://discuss.elastic.co/t/elastic-stack-7-13-0-and-6-8-16-security-update/273964
Elastic、Elasticsearch、およびX-Packは、米国で登録されたElasticsearch BVの商標です。 そして他の国々でも。