「Kibana」に深刻な脆弱性 - 「Chromium」の既知脆弱性に起因

Elasticは、データ可視化ツール「Kibana」に複数の脆弱性が見つかったとして、セキュリティアップデートをリリースした。

今回のアップデートでは、型の取り違えにより、細工されたHTMLページを表示するとメモリ破壊が発生する「Chromium」の脆弱性「CVE-2025-2135」を解消した。

「PDF」や「PNG」によるレポート生成機能を有効にしている場合に影響があり、任意のコードを実行されるおそれがあるという。

Googleでは「Chrome」のアップデートにおいて同脆弱性の重要度を「高（High）」としていたが、Elasticは共通脆弱性評価システム「CVSSv3.1」のベーススコアを「9.9」、重要度を「クリティカル（Critical）」と評価している。

また細工した短縮URLによるオープンリダイレクトの脆弱性「CVE-2025-25012」も判明した。外部サイトへ誘導したり、サーバサイドリクエストフォージェリ（SSRF）のおそれがある。CVSS基本値は「4.3」とし、重要度は「中（Medium）」とした。

同社は脆弱性を修正した「同9.0.3」「同8.18.3」「同8.17.8」「同7.17.29」をリリース。すぐにアップデートできないユーザーに対し、緩和策などもアナウンスしている。

（Security NEXT - 2025/06/25 ）ツイート