Elastic Kibana の脆弱性 CVE-2025-2135 (CVSS：9.9) が FIX：ヒープ破損／RCE の可能性

Critical Kibana Flaws Enable Heap Corruption and Remote Code Execution

2025/06/25 gbhackers — Elastic Stack の Kibana に、セキュリティ脆弱性 CVE-2025-2135 (CVSS：9.9：Critical) が発見された。この人気のデータ可視化プラットフォームに、ヒープ破損／リモート・コード実行の可能性が生じるため、セルフホスト／クラウド・ユーザーの、いずれにおいても速やかな対応が必要とされる。

脆弱性の概要

この脆弱性 CVE-2025-2135 は、Kibana のレポート・エンジンを支える Chromium に存在するものであり、タイプ・コンフュージョンに起因するという。ユーザーを騙して細工されたHTMLページを開かせることで、この脆弱性を悪用する攻撃者は、ヒープ・メモリ破損の可能性を手にする。

CVE IDDescriptionCVSS v3.1Affected Versions
CVE-2025-2135Heap corruption via Chromium Type Confusion; enables remote code execution9.9≤7.17.28, 8.0.0–8.17.7, 8.18.0–8.18.2, 9.0.0–9.0.2

最悪の場合には、メモリ破損を介した任意のコード実行にいたる可能性もあるため、システムの完全性／安全性に重大なリスクが生じるという。

影響を受けるバージョンとコンフィグレーション

この脆弱性が影響を及ぼす範囲は、以下の Kibana バージョンとなる：

  • 7.17.28 以下
  • 8.0.0：8.17.7 以下
  • 8.18.0：8.18.2 以下
  • 9.0.0：9.0.2 以下

Self-Hosted／Elastic Cloud のどちらにおいても、PDF／PNG レポート機能が有効化されている場合には、この脆弱性の影響を受けることになる。なお、CSV レポート版および、サーバーレス版 Kibana は影響を受けない。

緊急の緩和策と修正版のリリース

すべてのユーザーに対して Elastic が推奨するのは、修正済みのバージョン 7.17.29／8.17.8／8.18.3／9.0.3 へのアップグレードである。これらのリリースでは、根本的な脆弱性が修正され、悪用のリスクが大幅に軽減されている。

迅速なアップグレードが不可能な場合には、以下の緩和策が推奨される：

  • レポート機能の無効化：kibana.yml コンフィグ・ファイルに、”xpack.reporting.enabled: false” を追加する。
  • アクセス制限：レポート生成機能へのアクセスを、信頼できるアカウントのみに制限する。
  • ネットワーク・ポリシーの適用：レポート生成中における Chromium と Kibana の間の不正な接続を防ぐために、厳格なネットワーク・ポリシーを実装する。

Elastic Cloud 上の Kibana は、Docker コンテナ内で動作しており、seccomp-bpf や AppArmor などによる保護があるため、悪用の可能性は最小限に抑えられている。

ただし、影響を受けるバージョンを利用している場合には、レポート機能の無効化、もしくは、アクセス制限が強く推奨される。

監視／分析に広く使用される Kibana であるため、脆弱性 CVE-2025-2135 の持つ広範な攻撃対象範囲と深刻な危険性が強く懸念される。したがって、迅速な対応が、きわめて重要となる。

組織に推奨されるのは、デプロイメントの評価／アップデートの適用／緩和策の実施などの速やかな実施であり、それにより、潜在的な悪用を防止し、運用セキュリティを維持する必要がある。

Kibana に見つかった脆弱性は、PDF や PNG レポート機能を使っている環境において注意が必要とのことです。脆弱性の原因は、Kibana が内部で使っている Chromium におけるメモリ処理の不具合にあり、悪意ある HTML ページを開くだけで、システムに重大な影響が生じると、この記事は指摘しています。なお、Chromium で採番された CVE-2025-2135 が、そのまま、Kibana に適用されているようです。よろしければ、2025/03/10 の「Chrome の５件の脆弱性が FIX：メモリ破損や任意のコード実行にいたる恐れ」も、ご参照ください。