CVE-2026-19311 – OpenSearch アラートプラグインにおける認可の欠如
速報 ID: 2026-078-AWS
対象範囲: AWS
コンテンツタイプ: 重要 (要注意)
発行日: 2026 年 8 月 12 日 午前 11 時 30 分 (PDT)
説明:
OpenSearch は、コミュニティ主導型のオープンソースの検索および分析スイートです。CVE-2026-19311 は、OpenSearch アラートプラグインの実行モニター API における認可の欠如に関する問題であることが判明しました。この問題により、alerting_full_access ロールを持つ認証されたユーザーが、意図しないデータソースと入力インデックスパラメーターを含む細工されたインラインモニターリクエストを介して、任意のインデックスデータの読み取り、変更、または削除を実行できる可能性があります。
影響を受けるバージョン:
OpenSearch アラートプラグイン (オープンソース、セルフマネージド):
- 影響を受けるのは: 2.4.0 から 2.19.5、3.0.0 から 3.7.0
- 修正済み: 2.19.6、3.8.0
Amazon OpenSearch Service (AWS Managed):
- 影響を受けるのは: エンジンバージョン 2.4～3.5 を実行しているすべてのドメイン
- 修正済み: サービスソフトウェア R20260428-P3
解決方法:
- OpenSearch アラートプラグイン (オープンソース、セルフマネージド):
OpenSearch 2.19.6 または 3.8.0 またはそれ以降にアップグレードしてください。この更新により、Execute Monitor API の入力検証の問題が解決されます。最新バージョンにアップグレードし、フォークしたコードや派生コードにパッチを適用して新しい修正を反映させることをお勧めします。 - Amazon OpenSearch Service (AWS Managed):
お客様には、できるだけ早くドメインを最新のサービスソフトウェアバージョンに更新することをお勧めします。エンジンバージョンのアップグレードは不要です。コンソールからアップデートを適用するには、ドメインを選択し、[アクション]、[サービスソフトウェアバージョン] の順に選択して [アップデート] をクリックします。自動ソフトウェア更新が有効になっているドメインは、次のオフピーク時にこの更新を受け取り、何もする必要はありません。詳細については、「Amazon OpenSearch Service のサービスソフトウェアの更新」を参照してください。
回避策:
即時アップグレードが不可能な場合は、alerting_full_access ロールを信頼できる管理ユーザーのみに制限して、この問題を最小限に抑えてください。
参考情報:
セキュリティに関する質問や懸念がある場合は、aws-security@amazon.com までメールでお問い合わせください。