JVN iPedia
http://jvndb.jvn.jp
Advisory
JVNDB-2026-031699
Elasticsearch B.V.のElasticsearchにおける信頼できないデータのデシリアライゼーションに関する脆弱性
Elasticsearchの機械学習コンポーネントにおける信頼されていないデータのデシリアライズ（CWE-502）は、オブジェクトインジェクション（CAPEC-586）を介したリモートコード実行につながる可能性があります。特別に細工された訓練済みモデルのアーティファクトは、攻撃者が制御するロジックを、本来意図されたものよりもはるかに広範囲のシステムコールサーフェス上で実行させる可能性があります。悪用されるには、訓練モデルの作成および展開に十分な権限を持つ認証ユーザーが必要です。
cpe:/a:elastic:elasticsearch
https://jvndb.jvn.jp/ja/contents/2026/JVNDB-2026-031699.html
Common Vulnerabilities and Exposures (CVE)
CVE-2026-72649
https://www.cve.org/CVERecord?id=CVE-2026-72649
National Vulnerability Database (NVD)
CVE-2026-72649
https://nvd.nist.gov/vuln/detail/CVE-2026-72649
JVNDB
CWE-502
信頼できないデータのデシリアライゼーション
https://cwe.mitre.org/data/definitions/502.html
Topics
Elasticsearch 8.19.20, 9.4.5, 9.5.1 Security Update (ESA-2026-114) - Announcements / Security Announcements - Discuss the Elastic Stack
https://discuss.elastic.co/t/elasticsearch-8-19-20-9-4-5-9-5-1-security-update-esa-2026-114/390087
2026-09-03T15:41:55+09:00
2026-09-03T15:41:55+09:00