ElasticsearchおよびLiferay Enterprise Searchのセキュリティアドバイザリ：2020年10月22日
以下の問題は、Liferay DXPおよびエンタープライズ検索環境の機能に影響を与える可能性があります。 この通知では、Liferay Enterprise Searchのサブスクライバー向けに、最新の互換性変更内容と必要な対応について説明します。
影響を受ける可能性のある展開
- Elastic Stack 6.x または 7.x 上の Liferay DXP 7.0、7.1、および 7.2
脆弱性情報
（ベンダー提供情報）
Elasticsearchのフィールド情報漏洩の欠陥（ESA-2020-13）
Elasticsearchにおいて、文書レベルセキュリティまたはフィールドレベルセキュリティを使用した場合に、文書情報漏洩の脆弱性が発見されました。 検索クエリは、特定の複雑なクエリを実行する際に、セキュリティ権限を適切に保持しない場合があります。 これにより、攻撃者が閲覧できないはずの文書の存在が検索結果から明らかになってしまう可能性がある。 これにより、攻撃者は機密性の高い可能性のあるインデックスに関する追加情報を得る可能性がある。
この問題を報告してくれたAcuityMDのCTO、ロバート・コー氏に感謝します。
影響を受けるバージョン: Elasticsearch 7.9.2 および 6.8.13 より前のすべてのバージョンがこの脆弱性の影響を受けます。
解決策と緩和策: ドキュメントレベルセキュリティまたはフィールドレベルセキュリティを使用しているユーザーは、Elasticsearch バージョン 7.9.2 または 6.8.13 にアップグレードする必要があります。 この不具合に対する既知の回避策はありません。
CVSSv3 - 3.1:AV:N/AC:H/PR:L/UI:N/S:U/C:L/I:N/A:N
CVE ID: CVE-2020-7020
追加情報
LiferayのElasticsearchコネクタおよびLiferay DXPの標準機能は、ドキュメントレベルセキュリティまたはフィールドレベルセキュリティを使用しません。
検索エンジン互換性マトリックス
互換性のあるコネクタのバージョンや必要なパッチレベルなど、Elasticsearchとの詳細な互換性については、こちらの情報 を参照してください。