JVNDB-2026-012121

Elasticsearch B.V.のLogstashにおけるパストラバーサルの脆弱性

Logstashにおける制限されたディレクトリへのパス名の不適切な制限（CWE-22）は、相対パストラバーサル（CAPEC-139）を介して任意のファイル書き込みおよび潜在的なリモートコード実行につながる可能性があります。Logstashで使用されるアーカイブ抽出ユーティリティは、圧縮アーカイブ内のファイルパスを適切に検証していません。攻撃者が侵害された、または攻撃者が管理する更新エンドポイントを通じて特別に細工されたアーカイブをLogstashに提供できる場合、Logstashプロセスの権限でホストファイルシステムに任意のファイルを書き込むことが可能になります。自動パイプラインのリロードが有効な特定の構成では、これによりリモートコード実行にエスカレートする可能性があります。

Elasticsearch B.V.

• Logstash 8.0.0 以上 8.19.14 未満
• Logstash 9.0.0 以上 9.2.8 未満
• Logstash 9.3.0 以上 9.3.3 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。
また、当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。
さらに、当該ソフトウェアが完全に停止する可能性があります。
そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

Elasticsearch

• Topics : Logstash 8.19.14, 9.2.8, 9.3.3 Security Update (ESA-2026-29) - Announcements / Security Announcements - Discuss the Elastic Stack

1. パス・トラバーサル(CWE-22) [その他]

1. CVE-2026-33466

1. National Vulnerability Database (NVD) : CVE-2026-33466

• [2026年04月23日]
    掲載