Elastic Kibana の脆弱性 CVE-2025-25014 (CVSS：9.1) ：任意のコード実行にいたる恐れ

Severe Kibana Flaw Allowed Attackers to Run Arbitrary Code

2025/05/07 gbhackers — Elastic Kibana プラットフォームに発見された、新たなセキュリティ脆弱性により、数千の企業がリスクにさらされている。この脆弱性の悪用に成功した攻撃者は、標的とするシステム上において、任意のコード実行の可能性を手にする。この脆弱性 CVE-2025-25014 の CVSS スコアは 9.1 と非常に高いため、ユーザー組織に求められるのは、速やかなデプロイメントの更新となる。Elastic のアナウンスメント (ESA-2025-07) によると、脆弱性 CVE-2025-25014 はプロトタイプ汚染に起因するものであり、攻撃者に対し、リモートからの任意のコード実行を許す可能性があるという。

Kibana の機械学習とレポーティングのエンドポイントを標的とする、細工された HTTP リクエストを通じて、この脆弱性の悪用が引き起こされる可能性がある。

Elastic は、「この脆弱性の悪用に成功した、アクセス権限を持つ攻撃者は、データ整合性やシステム可用性を侵害する可能性がある」と述べている。

特にリスクが高まるのは、影響を受けるインスタンスで、機械学習機能とレポーティング機能の両方が有効化されている環境である。

影響を受けるバージョン

この脆弱性は、セルフホスト型および Elastic Cloud 環境において、複数の Kibana バージョンに影響を及ぼす。

Product	Affected Versions	Safe Versions
Kibana	8.3.0 – 8.17.5	8.17.6
	8.18.0	8.18.1
	9.0.0	9.0.1

上記の影響を受けるバージョンにおいて、機械学習機能とレポート機能を有効化しているユーザーが、リスクに直面することになる。そこには、セルフホスト型インストールと Elastic Cloud ユーザーの両方が含まれる。

推奨事項

• アップグレード：Elastic が強く推奨するのは、修正されたバージョン 8.17.6／8.18.1／9.0.1 へのアップグレードである。
• アップグレードできない場合の代替策：
  • 機械学習機能の無効化：kibana.yml に xpack.ml.enabled: false を追加する。
  • レポーティング機能の無効化：kibana.yml に xpack.reporting.enabled: false を追加する。

“xpack.ml.ad.enabled: false” を設定して異常検出機能のみを無効化するオプションも、Elastic はセルフホスト・ユーザー向けに提供している。現時点では実環境での悪用の報告はないが、もし悪用されると、ビジネスデータや業務インフラに深刻な被害が生じる可能性があるため、即時の対策が強く求められる。

Kibana を使用している組織に推奨されるのは、導入状況を確認し、直ちに対応することである。

対応を怠ると、インフラの乗っ取りや機密データの窃取などを目的とする、高度な攻撃に重要なシステムがさらされる可能性がある。

Kibana のような、セキュリティのための監視システムは、強い権限を持って、システムの隅々までを解析するため、脆弱性の放置から甚大な被害へと、つながりやすいはずです。ご利用のチームは、十分に ご注意ください。よろしければ、Kibana で検索も、ご参照ください。