JVNDB-2026-031704

Elasticsearch B.V.のKibanaにおけるユーザ制御の鍵による認証回避に関する脆弱性

Kibanaにおけるユーザー制御キーを介した認可バイパス（CWE-639）は、ACLで適切に制約されていない機能へのアクセス（CAPEC-1）を通じて、権限のないクロススペースアクセスを引き起こす可能性があります。その結果、ユーザーがリスト、読み取り、使用の権限を持たない別のスペースの訓練済みモデルから推論出力を得ることができ、モデルの動作が露呈します。同様のパターンはデプロイ停止およびデプロイ更新操作にも及び、別のスペースで稼働中の訓練済みモデルのデプロイを停止したり、その割り当てられたリソースを変更したりすることが可能となります。

Elasticsearch B.V.

• Kibana 8.19.0 以上 8.19.20 未満
• Kibana 9.0.0 以上 9.4.5 未満
• Kibana 9.5.0

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。
・当該ソフトウェアが扱う情報について、書き換えは発生しません。
・当該ソフトウェアの一部が停止する可能性があります。

ベンダ情報を参照して適切な対策を実施してください。

Elasticsearch

• Topics : Kibana 8.19.20, 9.4.5, 9.5.1 Security Update (ESA-2026-126) - Announcements / Security Announcements - Discuss the Elastic Stack

1. ユーザ制御の鍵による認証回避(CWE-639) [その他]

1. CVE-2026-72629

1. National Vulnerability Database (NVD) : CVE-2026-72629

• [2026年09月03日]
    掲載