「Elastic Cloud Enterprise」に脆弱性 - API経由で不正操作のおそれ

Elastic製品の統合管理機能を提供するエンタープライズ向け運用基盤「Elastic Cloud Enterprise（ECE）」に脆弱性が明らかとなった。脆弱性を修正したアップデートが提供されている。

現地時間2025年10月31日にセキュリティアドバイザリを公開し、複数のAPIにおいて認可の不備が存在し、権限の昇格が可能となる脆弱性「CVE-2025-37736」について明らかにした。

本来読み取り権限しかないにもかかわらず、脆弱性が悪用されると管理用APIよりアカウントやAPIキーの作成、削除をはじめとする不正な操作が行われるおそれがある。

共通脆弱性評価システム「CVSSv3.1」のベーススコアは「8.8」と評価されており、重要度は4段階中、上から2番目にあたる「高（High）」とレーティングされている。

Elasticでは、同月13日にもセキュリティアドバイザリを公開し、脆弱性「CVE-2025-37729」に対処したが、別の脆弱性であり注意が必要。「CVE-2025-37729」の修正版となる「同4.0.2」「同3.8.2」についても「CVE-2025-37736」の影響を受ける。

同社は、脆弱性を修正した「同4.0.3」「同3.8.3」へアップデートするよう呼びかけるとともに、不正に作成されたユーザーやサービスアカウントがないか確認し、削除するなど対策を講じるよう求めている。

（Security NEXT - 2025/11/04 ）ツイート