JVNDB-2026-031684

Elasticsearch B.V.のKibanaにおける不正な認証に関する脆弱性

Kibanaにおける不適切な認可（CWE-863）は、アクセス制御リスト（ACL）によって適切に制限されていない機能へのアクセス（CAPEC-1）を通じて、Syntheticsのプライベートロケーションが不正に削除される原因となります。Syntheticsのプライベートロケーションは複数のスペースで共有可能であり、一度削除されると共有されているすべてのスペースからも削除されてしまいます。まだ使用中のプライベートロケーションの削除を防ぐための保護機能は、リクエストユーザー自身のスペースで見えるモニターのみを評価していたため、他のスペースでそのプライベートロケーションに依存するモニターを考慮していませんでした。その結果、認証されたKibanaユーザーが単一スペースのSynthetics書き込み権限を持っている場合でも、アクセス権のない他のスペースで依然として依存されているプライベートロケーションを削除できてしまう状態でした。プライベートロケーションの削除は、共有設定を取り除き、他のスペースのモニターの稼働を停止させ、そのスペースに依存する可用性監視を抑制してしまいます。

Elasticsearch B.V.

• Kibana 8.0.0 以上 8.19.20 未満
• Kibana 9.0.0 以上 9.4.4 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う情報について、外部への漏えいは発生しません。
・当該ソフトウェアが扱う情報の一部が書き換えられる可能性があります。
・当該ソフトウェアの一部が停止する可能性があります。

ベンダ情報を参照して適切な対策を実施してください。

Elasticsearch

• Topics : Kibana 8.19.20, and 9.4.4 Security Update (ESA-2026-90) - Announcements / Security Announcements - Discuss the Elastic Stack

1. 不正な認証(CWE-863) [その他]

1. CVE-2026-72673

1. National Vulnerability Database (NVD) : CVE-2026-72673

• [2026年09月03日]
    掲載