Elasticsearch 1.5.2 および 1.4.5リリース（日本語訳）

ディレクトリトラバーサル脆弱性の発見

1.5.2および1.4.5以前の全バージョンのElasticsearchで、ディレクトリトラバーサル攻撃に対する脆弱性がみつかりました。攻撃者はElasticsearchを実行しているサーバからファイルを取得することができます。この脆弱性はインストールしたばかりのElasticsearchには存在しません。この脆弱性は"site plugin"がインストールされると露呈します。 ElasticのMarvelプラグインおよびコミュニティサポートの多くのプラグイン（例：Kopf、BigDesk、Head）がsite pluginです。 Elastic Shield、Licensing、Cloud-AWS、Cloud-GCE、Cloud-Azure、analysis pluginおよびriverプラグインはsite pluginではありません。

この問題をCVE-2015-3337としました。

バージョン1.5.2と1.4.5はこの脆弱性に対して対策済みで、私たちはすべてのユーザにアップグレードを勧めています。

アップグレードを望まないユーザはいくつかの方法でこの脆弱性に対して対応可能ですが、これらの方法はsite pluginを動作させなくします。

site pluginをインストールしているノードのelasticsearch.ymlのhttp.disable_sitesをtrueに設定し、Elasticsearchのノードを再起動
ファイアウォールもしくはプロキシを利用して、/_pluginへのHTTPリクエストをブロック
すべてのsite pluginをすべてのElasticsearchノードからアンインストール

この問題を報告していただいた、DocuSignのJohn Heasmanに感謝いたします。

他の変更について

インデックスされたスクリプトおよびテンプレートを上書きもしくは削除時に、キャッシュからも完全に削除する。
geo-shapeの多数のフィックス（distance_error_pctを利用した場合の、重要なprecisionに関するフィックスを含む）
インデックステンプレートのデフォルトマッピングがバルクインデキシング中にも考慮するように修正
Shadowレプリカがファイルシステムの遅延に対する対障害性を向上し、プライマリシャードのよりスムーズなリロケーションをサポート
geo-contextsをcompletion suggesterで使用した場合のマッピングのリフレッシュループを改善

いくつかの重要な変更がv1.4.5にバックポートされています。

大きなシャードのリカバリを早くするためのシャードリカバリ中のマージを可能に * truncated translogsの操作をグレースフルに
マージが遅くなる場合に、delete-by-queryを減速

ぜひ、Elasticsearch 1.5.2をダウンロードして、試してみてください。そして、感想をTwitter(@elastic)などで教えて下さい。また、問題がありましたら、GitHub issues pageで報告をお願いします。

Elasticsearch 1.5.2 および 1.4.5リリース（日本語訳）

目次

ディレクトリトラバーサル脆弱性の発見

他の変更について

See Also by Hugo

Related by prelims-cli

FEATURED TAGS