Elastic Cloud Enterpriseで高深刻度の脆弱性（CVE-2025-37736）|セキュリティと脆弱性のニュース-セキュリティ対策Lab

投稿日時: 2025年11月05日更新日時: 2025年11月05日

Elastic Cloud Enterpriseで高深刻度脆弱性（CVE-2025-37736）

Elasticは、Elastic Cloud Enterprise（ECE）において不適切な認可（Improper Authorization）が原因で、組み込みの「readonly」ユーザーが本来許可されないAPIを実行でき、権限昇格に至る脆弱性（CVE-2025-37736、CVSS 8.8/High）を公表し、ECE 3.8.3 および 4.0.3で修正しました。影響はすべてのECEユーザーに及ぶとされ、オンプレミスやハイブリッド構成の管理面に広く影響する可能性があります。

1 影響範囲（バージョン）
2 対策バージョン
3 技術的な要点

影響範囲（バージョン）

3.8.0以降かつ 3.8.2 まで
4.0.0以降かつ 4.0.2 まで

上記の範囲に該当するECE環境では、readonlyユーザーが特定の管理系APIを呼び出せる不整合が存在し、ユーザー・サービスアカウント・APIキーの操作といった管理権限レベルの操作が実行できてしまいます。

対策バージョン

直ちに ECE 3.8.3 または 4.0.3へ更新してください。これが恒久対策です。

技術的な要点

問題は、ユーザー/サービスアカウント管理に関わるAPI群の認可チェックが不十分だったことに起因します。アドバイザリでは、以下のエンドポイントが影響を受ける例として列挙されています（抜粋、HTTPメソッドとパスはそのまま記載）。

post:/platform/configuration/security/service-accounts
delete:/platform/configuration/security/service-accounts/{user_id}
patch:/platform/configuration/security/service-accounts/{user_id}
post:/platform/configuration/security/service-accounts/{user_id}/keys
delete:/platform/configuration/security/service-accounts/{user_id}/keys/{api_key_id}
patch:/user
post:/users
post:/users/auth/keys
delete:/users/auth/keys
delete:/users/auth/keys/_all
delete:/users/auth/keys/{api_key_id}
delete:/users/{user_id}/auth/keys
delete:/users/{user_id}/auth/keys/{api_key_id}
delete:/users/{user_name}
patch:/users/{user_name}