Elasticsearch ESA-2017-10

medium Nessus プラグイン ID 112040

Language:

概要

リモートのWebサーバーは、不正な情報漏えいの脆弱性により影響を受けるJavaアプリケーションをホストしています。

説明

Elasticsearch X-Pack Securityバージョン5.0.0～5.4.3を有効にしたとき、Elasticsearch _nodes APIにより、認証領域の一部として設定されたSSLキーのパスやパスフレーズなどの重要な設定情報が漏えいする可能性があります。これにより、認証されたElasticsearchユーザーがこれらの詳細を不適切に表示する可能性があります。

ソリューション

すべてのX-Pack Securityユーザーはバージョン5.5.0にアップグレードする必要があります。この更新プログラムにより、_nodes APIが秘密の設定情報を返すのを防ぐことができます。アップグレードできない場合は、X-Packのhide_settings設定オプションを使用することで秘密の設定情報を隠すことができます。