JVNDB-2026-037800

Elasticsearch B.V.のKibanaにおけるユーザ制御の鍵による認証回避に関する脆弱性

Kibanaにおけるユーザー制御キーを介した認可回避（CWE-639）はクロステナーデータの傍受につながる可能性があります。この文脈において、「テナント」とは別個のElastic Cloud組織や顧客ではなく、同じKibana展開を共有するユーザーまたはチームを指します。KibanaのFleetパッケージのインストールプロセスでは、直接的なElasticsearch管理権限を持たない代理Fleetパッケージ管理権限を有するユーザーが、既に別のテナントによって使用されているデータストリーム識別子を不正に取得できる状態でした。所有権が検証されないままFleetがアップロードされたパッケージによって生成されたインデックスおよびイングエストパイプライン設定を既存のインフラに適用したため、攻撃者は既存テナントのデータストリームを自分の管理下にあるインフラへリダイレクトすることが可能となりました。これにより、影響を受けたテナントの後続の取り込みデータが不正に漏洩および改ざんされるリスクが生じ、本来の到達先にデータが届かなくなりました。悪意あるパッケージを削除した後も傍受が続く可能性があり、影響を受けたインフラの個別修復が必要となる場合があります。

Elasticsearch B.V.

• Kibana 8.14.0 以上 8.19.22 未満
• Kibana 9.0.0 以上 9.4.7 未満
• Kibana 9.5.0 以上 9.5.4 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。
・当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。
・当該ソフトウェアが完全に停止する可能性があります。

ベンダ情報を参照して適切な対策を実施してください。

Elasticsearch

• Topics : Kibana 8.19.22, 9.4.7, 9.5.4 Security Update (ESA-2026-187) - Announcements / Security Announcements - Discuss the Elastic Stack

1. ユーザ制御の鍵による認証回避(CWE-639) [その他]

1. CVE-2026-102406

1. National Vulnerability Database (NVD) : CVE-2026-102406

• [2026年10月14日]
    掲載