Elastic Fixes 14 Security Flaws Including One That Lets Attackers Intercept Other Users’ Data
2026/10/08 CyberSecurityNews — Elastic が公開したのは、Elasticsearch／Kibana／Elastic Agent／Endpoint に関する 14 件のセキュリティ・アドバイザリである。そこに含まれる脆弱性として、Fleet の権限を委任されたユーザーが、他のテナントのユーザーやチームのデータを傍受できる、深刻度の高い Kibana の欠陥がある。Kibana の脆弱性 CVE-2026-102406 (CVSS 8.8) は、Fleet のパッケージ・インストール処理に影響を及ぼす。この処理では、アップロードされた統合設定を既存のデータストリームへ適用する前に、所有権が確認されていなかった。
したがって、カスタム Fleet パッケージをインストールする権限を持つ攻撃者は、Elasticsearch の直接的な管理者権限がなくても、すでに別のテナントが使用しているデータストリームの識別子を、自身のものとして指定できる。
その結果、Fleet が攻撃者のインデックス設定／データ取り込むことで、パイプラインの設定が既存のインフラへ適用される可能性がある。これにより、新たに取り込まれる情報が攻撃者の管理するインフラを経由し、権限のないアクセス／改ざんが可能になる一方、本来の宛先へのデータ配信は停止する。
Elastic は、悪意のパッケージを削除した後であっても、データの傍受が続く可能性があると警告している。そのため管理者に求められるのは、パッケージの削除だけで修正が完了したと判断せず、影響を受けたインフラを調査し、別途修復することである。
ここでいう「テナント」とは、単一の Kibana 環境内のユーザー／チームを指しており、別々の Elastic Cloud 顧客を意味するものではない。
この脆弱性は、Kibana 8.14.0～8.19.21／9.0.0～9.4.6／9.5.0～9.5.3 に影響を及ぼし、すでに提供されている 8.19.22／9.4.7／9.5.4 で修正された。権限を委任されたユーザーがカスタム統合パッケージをアップロードできる場合、自己管理型環境／Elastic Cloud Hosted 環境の両方が影響を受ける。
修正された 14 件のセキュリティ脆弱性
深刻度の高い脆弱性 CVE-2026-103009 (CVSS 7.1) は、Remote Cluster Security 2.0 を使用するクラスタ間検索に影響する。細工したリクエストを用いる攻撃者は、インデックスに対する認可チェックを通過しながら、別のアクセス権限のないインデックスへアクセスし、ドキュメント／マッピング／メタデータを漏えいさせる可能性がある。この脆弱性の悪用には、リモートクラスタの転送インターフェイス経由でのアクセスが必要であり、REST API 経由では悪用できない。
Elasticsearch では、サービス拒否 (DoS) の脆弱性に対する修正も提供された。CVE-2026-103008 を悪用する、インデックスの読み取り権限を持つ認証済みのユーザーは、スクリプト化されたジオメトリ (scripted geometry) を通じて過剰な再帰処理を引き起こし、ノードを停止させる可能性がある。
CVE-2026-102404 が悪用されると、細工した ES|QL クエリによりメモリが枯渇し、クラスタの可用性が繰り返し妨害される。この 2つの脆弱性の CVSS スコアは 6.5 であり、8.19.23／9.4.8／9.5.5 で修正されている。
Elastic Endpoint の脆弱性 CVE-2026-102413 (CVSS 6.2) の悪用により、中国語／日本語／韓国語などの、特定の Windows ロケールで細工したファイル名を処理する際に、繰り返してクラッシュが引き起こされる可能性がある。このクラッシュにより、マルウェア防御／振る舞い検出の機能が弱体化、または無効化される可能性がある。
管理者に求められるのは、該当する修正版のインストール／アップグレード時の注意事項の確認である。Kibana にパッチを適用するまでの間、Elastic が推奨しているのは、カスタムパッケージのアップロード権限を、完全なスーパーユーザー権限を持つユーザーに限定することである。
調査担当者に求められるのは、アップロードされた Fleet パッケージを調査し、データセット識別子の再利用／既存のデータ取り込みパイプラインに対する予期しない変更を確認することである。Elastic は、公表前に Cloud Serverless 環境で Kibana の脆弱性を修正している。
Elastic 製データ分析ツール群における複数のセキュリティ欠陥について解説する記事です。設定情報の検証不足やアクセス制限の不備に伴い、通信内容の傍受／他者データへの不正アクセス／ノードの停止／セキュリティ機能の無効化といった不具合が生じる危険性があります。対象となる CVE は CVE-2026-102406／CVE-2026-103009／CVE-2026-103008／CVE-2026-102404／CVE-2026-102413 です。対象となる製品は Kibana／Elasticsearch／Elastic Endpoint (Elastic Agent) です。対応策として最新版への速やかな更新／権限設定の確認が求められます。
You must be logged in to post a comment.