JVNDB-2026-027400

Elasticsearch B.V.のKibanaにおけるユーザ制御の鍵による認証回避に関する脆弱性

Kibanaにおけるユーザー制御キーを介した認可バイパス（CWE-639）は、権限乱用（CAPEC-122）によって、許可されていない情報開示およびケース添付ファイルの整合性破損を引き起こす可能性があります。Kibanaのファイルアクセス認可ロジックの不整合により、低権限の認証済みユーザーが自身の権限外にある機能領域に属するケース添付ファイルを取得、変更、削除することが可能です。アクセス制御チェックとリソース取得が異なる解決メカニズムを使用しているため、限定的なファイル管理権限しか持たない認証攻撃者が、セキュリティソリューションケースに関連する添付ファイルなどの保護されたケース添付ファイルの内容を取得、変更、または削除でき、これらの機能にアクセスするために必要な権限を保持していなくても影響を受ける可能性があります。

Elasticsearch B.V.

• Kibana 8.19.0 以上 8.19.18 未満
• Kibana 9.3.0 以上 9.3.7 未満
• Kibana 9.4.0 以上 9.4.3 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。
・当該ソフトウェアが扱う情報の一部が書き換えられる可能性があります。
・当該ソフトウェアは停止しません。

ベンダ情報を参照して適切な対策を実施してください。

Elasticsearch

• Topics : Kibana 8.19.18, 9.3.7, 9.4.3 Security Update (ESA-2026-59) - Announcements / Security Announcements - Discuss the Elastic Stack

1. ユーザ制御の鍵による認証回避(CWE-639) [その他]

1. CVE-2026-56147

1. National Vulnerability Database (NVD) : CVE-2026-56147

• [2026年08月10日]
    掲載