vs gauge
区分
JVN番号
タイトル
JVN
深刻度
最終更新日
CVE番号
New
JVNDB-2026-037602

Elasticsearch B.V.のElasticsearchにおける不正な認証に関する脆弱性

7.2
2026/10/13 10:13
CVE-2026-103007
JVNDB-2026-037602
Elasticsearch B.V.のElasticsearchにおける不正な認証に関する脆弱性
概要
Elasticsearchにおける誤った認可（CWE-863）は、認可チェック時に範囲が完全に適用されない委任された管理権限を介して権限昇格を引き起こす可能性があります。Elasticsearchには、特定のインデックスに限定された役割管理機能を他のユーザーに委譲できる、設定可能でデフォルトではない権限に誤った認可の脆弱性が存在します。このスコープ制御を実施する認可チェックは、マッチするインデックスセットを拡大できる役割定義の設定を正しく考慮していません。そのため、広範囲なインデックスパターンを持つ委任権限のユーザーは、自身に割り当てられた役割を更新することで、本来制限されるべきインデックス（内部のセキュリティデータを含む）へのアクセスを得るためにこの不整合を悪用できます。これにより、クラスターの完全な管理権限までさらなる権限昇格が可能となります。
想定される影響と対策
・当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。 ・当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。 ・当該ソフトウェアが完全に停止する可能性があります。
ベンダ情報を参照して適切な対策を実施してください。
JVN情報　※( )内はCVSS v2の値
深刻度 7.2
CVECVE-2026-103007
公表日2026/10/06 00:00
登録日2026/10/13 10:13
更新日2026/10/13 10:13
CVSS v3情報
…
全ての情報を閲覧するにはユーザー登録（無料）またはログインが必要です。
新規登録
ログイン