「Elastic Cloud Enterprise」に深刻な脆弱性 - アップデートやIoCを公開

Elasticは、同社製品を統合管理するエンタープライズ向け運用基盤「Elastic Cloud Enterprise（ECE）」に脆弱性が見つかったとしてアップデートをリリースした。

現地時間2025年10月13日にセキュリティアドバイザリを公開し、テンプレートエンジンの無害化機能に存在する脆弱性「CVE-2025-37729」について明らかにしたもの。「Logging+Metrics」機能を有効化した環境が影響を受ける。

悪用には管理コンソールへアクセスする権限が必要となるが、機密情報の窃取が可能となり、細工した文字列を用いて「Jinjava変数」を評価させることにより、任意のコマンドを実行できるという。

共通脆弱性評価システム「CVSSv3.1」のベーススコアを「9.1」、重要度を4段階中もっとも高い「クリティカル（Critical）」とレーティングしている。

脆弱性の判明を受けて、同社ではアップデートとなる「同4.0.2」「同3.8.2」をリリースし、脆弱性へ対処した。

同社は、脆弱性の悪用が確認されたかどうかについては今回のアドバイザリで言及していない。一方で悪意あるペイロードのリクエストを示す「IoC（Indicators of Compromise）」情報を公開しており、示したペイロード名がログに存在しないか、検索クエリを用いて監視するよう求めている。

（Security NEXT - 2025/10/14 ）ツイート