JVNDB-2026-037602

Elasticsearch B.V.のElasticsearchにおける不正な認証に関する脆弱性

Elasticsearchにおける誤った認可（CWE-863）は、認可チェック時に範囲が完全に適用されない委任された管理権限を介して権限昇格を引き起こす可能性があります。Elasticsearchには、特定のインデックスに限定された役割管理機能を他のユーザーに委譲できる、設定可能でデフォルトではない権限に誤った認可の脆弱性が存在します。このスコープ制御を実施する認可チェックは、マッチするインデックスセットを拡大できる役割定義の設定を正しく考慮していません。そのため、広範囲なインデックスパターンを持つ委任権限のユーザーは、自身に割り当てられた役割を更新することで、本来制限されるべきインデックス（内部のセキュリティデータを含む）へのアクセスを得るためにこの不整合を悪用できます。これにより、クラスターの完全な管理権限までさらなる権限昇格が可能となります。

Elasticsearch B.V.

• Elasticsearch 8.16.0 以上 8.19.22 未満
• Elasticsearch 9.0.0 以上 9.4.7 未満
• Elasticsearch 9.5.0 以上 9.5.4 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。
・当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。
・当該ソフトウェアが完全に停止する可能性があります。

ベンダ情報を参照して適切な対策を実施してください。

Elasticsearch

• Topics : Elasticsearch 8.19.22, 9.4.7, 9.5.4 Security Update (ESA-2026-197) - Announcements / Security Announcements - Discuss the Elastic Stack

1. 不正な認証(CWE-863) [その他]

1. CVE-2026-103007

1. National Vulnerability Database (NVD) : CVE-2026-103007

• [2026年10月13日]
    掲載