「Kibana」に複数のXSS脆弱性 - 「CrowdStrike」との連携ツールにも

Elasticが提供するデータ可視化ツール「Kibana」に複数の脆弱性が明らかとなった。アップデートで修正が実施されている。

現地時間2025年10月6日にセキュリティアドバイザリを公開し、あわせて3件の脆弱性「CVE-2025-25009」「CVE-2025-25017」「CVE-2025-25018」について明らかにした。いずれもクロスサイトスクリプティング（XSS）の脆弱性としている。

共通脆弱性評価システム「CVSSv3.1」のベーススコアは、「CVE-2025-25009」「CVE-2025-25018」が「8.7」、「CVE-2025-25017」が「8.2」と評価されており、重要度はいずれも「高（High）」とレーティングされている。

またこれら3件の脆弱性にくわえて、「Kibana」に含まれる「CrowdStrike Connector」において認証情報が漏洩するおそれがある脆弱性「CVE-2025-37728」についても明らかにした。CVSS基本値は「5.4」、重要度は「中（Medium）」とレーティングされている。

脆弱性によって修正バージョンは異なるが、いずれも最新版となる「Kibana 9.1.5」「同9.0.8」「同8.19.5」「同8.18.8」にて解消されている。

また一部環境に関しては関連機能を無効化する緩和策などもアナウンスされている。

（Security NEXT - 2025/10/10 ）ツイート