Elastic Elasticsearch のリモートコード実行の脆弱性（CVE-2015-1427）

何が起きた

検索エンジンの Elasticsearch で、Groovy というスクリプト（簡単なプログラム）を動かす仕組みに弱点が見つかりました。細工したスクリプトを送ると、サンドボックス（スクリプトにできることを制限する守り）を破り、任意の（攻撃者が好きに選べる）シェルコマンドを実行できてしまいます。NVD の評価では、ネットワーク経由で、ログインしていない攻撃者が、利用者の操作なしに悪用できるとされています。実際に悪用が確認されています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

NVD の説明では、Elasticsearch の 1.3.8 より前と、1.4.x の 1.4.3 より前が影響を受けます。Elastic の案内では、弱点は 1.3.0 で入り込んだもので、影響を受けるのは 1.3.0 から 1.3.7 と、1.4.0 から 1.4.2 とされています。

何をすればいい

Elastic は、1.3.8 か 1.4.3 に更新するよう案内しています。すぐに更新できない場合の回避策として、elasticsearch.yml で script.groovy.sandbox.enabled を false にして、ノードを再起動する方法が示されています。あわせて、メーカーの公式の案内を確認してください。

やることチェックリスト

• Elasticsearch を 1.3.8 以降に更新する
• 1.4.x を使う場合は 1.4.3 以降に更新する
• すぐ更新できなければ Groovy の設定を無効にする

用語メモ

サンドボックス

プログラムにできることを制限して、外に悪い影響が出ないようにする仕組みです。

シェルコマンド

サーバーの OS に直接出す命令です。ファイルの操作やプログラムの起動などができます。

スクリプト

ソフトウェアの中で動かす、簡単なプログラムのことです。