ご覧のページは、お客様の利便性のために一部機械翻訳されています。また、ドキュメントは頻繁に更新が加えられており、翻訳は未完成の部分が含まれることをご了承ください。最新情報は都度公開されておりますため、必ず英語版をご参照ください。翻訳に問題がある場合は、こちらまでご連絡ください。

ElasticsearchおよびLiferay Enterprise Searchのセキュリティアドバイザリ：2019年10月

公開日：2019年10月25日

以下の問題は、お客様のLiferay DXPおよびエンタープライズ検索環境の機能に影響を与える可能性があります。この通知では、Liferay Enterprise Searchのサブスクライバー向けに、最新の互換性変更内容と必要な対応について説明します。

影響を受ける可能性のある展開

Elastic Stack 6.7以降上でX-Packを使用して動作するLiferay DXP 7.0、7.1、および7.2。

脆弱性情報

（ベンダー提供情報）

Elasticsearchのユーザー名漏洩の脆弱性（ESA-2019-13）

ElasticsearchのAPIキーサービスに、ユーザー名漏洩の脆弱性が発見されました。認証されていない攻撃者は、特別に細工されたリクエストを送信することで、Elasticsearchのネイティブレルムにユーザー名が存在するかどうかを判断できる可能性があります。

影響を受けるバージョン

この脆弱性の影響を受けるElasticsearchのバージョンは以下のとおりです。7.0.0、7.0.1、7.1.0、7.1.1、7.2.0、7.2.1、7.3.0、7.3.1、7.3.2、6.7.0、6.7.1、6.7.2、6.8.0、6.8.1、6.8.2、6.8.3

解決策と緩和策

ユーザーはElasticsearchのバージョン7.4.0または6.8.4にアップグレードする必要があります。ユーザーがアップグレードできない場合は、Elasticsearch 設定ファイルで xpack.security.authc.api_key.enabled を false に設定することで、API キーサービスを無効にできます。

CVSSv3: 3.7 - AV:N/AC:H/PR:N/UI:N/S:U/C:L/I:N/A:N CVE ID: CVE-2019-7619