JVNDB-2026-031923

Elasticsearch B.V.のKibanaにおけるパストラバーサルの脆弱性

Kibana Fleet機能における制限されたディレクトリへのパス名の不適切な制限（「パストラバーサル」）（CWE-22）は、パストラバーサル（CAPEC-126）を介して特権リソースの不正削除を引き起こす可能性があります。低権限のユーザーがFleet設定に書き込みアクセス権を持っている場合、後続の管理者アクションが意図しない内部リソースに影響を与り、その結果、ユーザーアカウントやその他の組織資産などの特権リソースが削除される可能性があります。悪用するためには、管理者が影響を受けるFleetインターフェースに関与する必要があります。

Elasticsearch B.V.

• Kibana 8.0.0 以上 8.19.18 未満
• Kibana 9.0.0 以上 9.3.6 未満
• Kibana 9.4.0 以上 9.4.3 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う情報について、外部への漏えいは発生しません。
・当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。
・当該ソフトウェアが完全に停止する可能性があります。

ベンダ情報を参照して適切な対策を実施してください。

Elasticsearch

• Topics : Kibana 8.19.18, 9.3.6, 9.4.3 Security Update (ESA-2026-158) - Announcements / Security Announcements - Discuss the Elastic Stack

1. パス・トラバーサル(CWE-22) [その他]

1. CVE-2026-78590

1. National Vulnerability Database (NVD) : CVE-2026-78590

• [2026年09月04日]
    掲載