Kibanaに認可不備の脆弱性(CVE-2024-43706)-v8.12.1で修正済み|セキュリティニュース

投稿日時: 2025年06月17日更新日時: 2025年06月16日

Elasticが提供するKibanaにおいて、Synthetic Monitor機能に関する認可処理の不備が見つかり、2025年6月にセキュリティ修正が行われました。該当する脆弱性「CVE-2024-43706」は、認証済みユーザーが本来アクセスできない設定に不正に介入できてしまう可能性があり、CVSSスコアは7.6（高）と評価されています。

1 該当バージョンと修正バージョン
2 問題の本質：内部からの特権悪用

該当バージョンと修正バージョン

影響を受けるバージョン：8.12.0以前
修正バージョン：8.12.1

問題の本質：内部からの特権悪用

この脆弱性の厄介な点は、「ログインしている正規ユーザーが、余計なことまでできてしまう」というところです。たとえば、Synthetic Monitor（外形監視）のエンドポイントに対して、通常のUI操作を介さずに直接HTTPリクエストを送ることで、他人の監視ジョブにアクセスできてしまうケースが該当します。

ユーザーインターフェース上で制限していても、裏側のAPIエンドポイントに穴が空いていれば意味がありません。実運用では、こういった”隠れた経路”からの操作に注意が必要です。

Synthetic Monitorは便利な反面、誤って設定が漏洩すると、システムの構成や監視対象が露呈するリスクもあります。特に今回のように、権限チェックの隙を突かれるケースでは、内部関係者や社内テスト用アカウントからの悪用も否定できません。

「ユーザーの操作を制限しているから安心」ではなく、「裏側のAPIにも同じ制御がかかっているか？」という点まで目を向けることが求められます。