JVNDB-2026-031690

Elasticsearch B.V.のKibanaにおける認証の欠如に関する脆弱性

Kibanaにおける認可の欠如（CWE-862）は、ACLによって適切に制約されていない機能へのアクセス（CAPEC-1）を介して情報漏洩を引き起こす可能性があります。Elastic Defendのエンドポイント応答アクションで使用される内部のKibanaデータ取得機能は、ユーザー向けの同等機能が要求するSecurity Solutionおよびエンドポイントの権限を適用しておらず、要求ユーザーの権限ではなく、昇格した内部権限でデータを取得していました。その結果、Security Solutionの権限やエンドポイントの権限を持たず、基盤となるデータに対するElasticsearchの権限も持たない認証済みの低権限Kibanaユーザーが、エンドポイント応答アクションのレコードおよび管理対象ホストから返される対応する応答コンテンツを読み取ることができる状態になっていました。

Elasticsearch B.V.

• Kibana 8.12.0 以上 8.19.19 未満
• Kibana 9.0.0 以上 9.3.8 未満
• Kibana 9.4.0 以上 9.4.4 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。
・当該ソフトウェアが扱う情報について、書き換えは発生しません。
・当該ソフトウェアは停止しません。

ベンダ情報を参照して適切な対策を実施してください。

Elasticsearch

• Topics : Kibana 8.19.19, 9.3.8, 9.4.4 Security Update (ESA-2026-102) - Announcements / Security Announcements - Discuss the Elastic Stack

1. 認証の欠如(CWE-862) [その他]

1. CVE-2026-72661

1. National Vulnerability Database (NVD) : CVE-2026-72661

• [2026年09月03日]
    掲載