「Elasticsearch」「Enterprise Search」に脆弱性 - アップデートを強く推奨

Elasticが提供するデータ管理ソリューション「Elasticsearch」「Enterprise Search」のセキュリティアップデートが公開された。サードパーティ製ソフトウェアに起因する脆弱性へ対処したものでアップデートを強く推奨している。

「Apache Tika」のPDF解析モジュール「tika-parser-pdf-module」にXML外部実体参照（XXE）の脆弱性「CVE-2025-54988」が判明し、アップデートを実施したもの。

細工されたPDFファイルを処理すると、内部リソースがアクセスされたり、外部に対してリクエストが行われるおそれがあり、「ingest attachment processor」を使用している場合に影響を受ける。

また「Enterprise Search」に関しては「Workplace Search」のみ脆弱性の影響を受ける。「App Search」や「Elastic Crawler」は影響を受けない。

米サイバーセキュリティインフラストラクチャセキュリティ庁（CISA）は、共通脆弱性評価システム「CVSSv3.1」において、「CVE-2025-54988」のベーススコアを「9.8」、重要度を「クリティカル（Critical）」とレーティングしている。

（Security NEXT - 2025/08/29 ）ツイート