フィードバックを送信
Security Alerts
ご覧のページは、お客様の利便性のために一部機械翻訳されています。また、ドキュメントは頻繁に更新が加えられており、翻訳は未完成の部分が含まれることをご了承ください。最新情報は都度公開されておりますため、必ず英語版をご参照ください。翻訳に問題がある場合は、 こちら までご連絡ください。

ElasticsearchおよびLiferay Enterprise Searchのセキュリティアドバイザリ：2020年9月2日

公開日：2020年9月2日

以下の問題は、Liferay DXPおよびエンタープライズ検索環境の機能に影響を与える可能性があります。 この通知では、Liferay Enterprise Searchのサブスクライバー向けに、最新の互換性変更内容と必要な対応について説明します。

影響を受ける可能性のある展開

  • Elastic Stack 6.x または 7.x 上の Liferay DXP 7.0、7.1、および 7.2

脆弱性情報

（ベンダー提供情報）

Elasticsearchのフィールド情報漏洩の欠陥（ESA-2020-12）

フィールドレベルセキュリティを有効にしたスクロール検索を実行した際に、Elasticsearchにフィールド情報漏洩の脆弱性が発見されました。 ユーザーが、より権限の高い別のユーザーが最近実行したクエリと同じクエリを実行した場合、スクロール検索によって非表示にすべきフィールドが漏洩する可能性がある。 これにより、攻撃者が制限されたインデックスに対して追加の権限を取得する可能性があります。

影響を受けるバージョン Elasticsearch 7.9.0 および 6.8.12 より前のすべてのバージョンがこの脆弱性の影響を受けます

解決策と緩和策 ユーザーは Elasticsearch バージョン 7.9.0 または 6.8.12 にアップグレードする必要があります。

CVSSv3: 5.3 - AV:N/AC:H/PR:L/UI:N/S:U/C:H/I:N/A:N

CVE ID: CVE-2020-7019

追加情報

LiferayのElasticsearchコネクタは、フィールドレベルセキュリティを使用しません。 Elasticsearch 7.9.x が DXP 7.2* の互換性マトリックスに追加されました。

検索エンジン互換性マトリックス

互換性のあるコネクタのバージョンや必要なパッチレベルなど、Elasticsearchとの詳細な互換性については、こちらの情報 を参照してください。

ベンダー紹介

*: Elasticsearch 7 では、マーケットプレイスから "Liferay Connector to Elasticsearch 7" アプリが必要です。 最新バージョン（v3.0.1）を使用するには、Service Pack 2以降/Fix Pack 5以降のパッチレベルが必要です。

Elastic、Elasticsearch、およびX-Packは、米国で登録されたElasticsearch BVの商標です。 そして他の国々でも。