Kibana 9.3.8/9.4.4 Security Update (CVE-2026-63141): Missing Authorization in Cloud Connect Management

Kibana 9.3.8、9.4.4 セキュリティアップデート（ESA-2026-65） 脆弱性の概要 脆弱性の名称: Kibana における認可の欠如による Cloud Connect 管理機能への無許可アクセス 脆弱性の説明: Kibana における認可の欠如（CVE-862）により、認証済みユーザーが所定の権限なく Cloud Connect の設定やサービス設定にアクセス・変更できる状態が生じる。これは、プロダクトエンドポイントへの直接リクエストによって引き起こされる。 重大度: CVSSv3.1: Medium (6.3) - CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:L/A:L CVE ID: CVE-2026-63141 問題の種類: CWE-862 - 認可の欠如 影響範囲 影響を受けるバージョン: - 9.x: - 9.3.0 から 9.3.7 までの全バージョン - 9.4.0 から 9.4.3 までの全バージョン 影響を受けないバージョン: - 8.x シリーズのバージョンには影響はありません。この脆弱性が含まれる Cloud Connect 機能は 9.3.0 で導入され、8.x では存在しません。 - 9.5.x シリーズのバージョンには影響はありません。修正プログラムは 9.5.0 に含まれており、公開される以前から利用可能でした。 影響を受ける設定: - Cloud Connect 機能が有効化され、かつ管理者が Cloud Connect の設定を完了している Kibana デプロイメント。Cloud Connect を有効化または設定していないデプロイメントには影響はありません。 修正方案 解決策および緩和措置: - この問題は Kibana 9.3.8 および 9.4.4 で解決されました。ユーザーはこれらのバージョン以降へのアップグレードが推奨されます。 アップグレードが困難なユーザーの場合: - セルフホスト型: Cloud Connect 機能を必要としない組織は、Kibana の設定で Cloud Connect 機能を無効化することで、露出を解消できます。 - クラウドホスト型: 即時アップグレードが困難な場合、Cloud Connect 機能を無効化するガイダンスを得るために Elastic サポートに連絡してください。 その他 指標（IOC）: 特定の脆弱性悪用の指標（IOC）は特定されていません。 Elastic Cloud Serverless: 継続的なデプロイとパッチ適用モデルのおかげで、この脆弱性は公開される以前に Elastic Cloud Serverless プロダクトにおいて修正済みです。

目標達成 すべての支援者に感謝 — 100%達成しました！

Kibana 9.3.8/9.4.4 Security Update (CVE-2026-63141): Missing Authorization in Cloud Connect Management

目標達成すべての支援者に感謝 — 100%達成しました！