CVE-2026-18952 – OpenSearch セキュリティ分析プラグインにおける入力検証の欠如
速報 ID: 2026-079-AWS
対象範囲: AWS
コンテンツタイプ: 重要 (要注意)
発行日: 2026 年 8 月 12 日 午前 11 時 45 分 (PDT)
最終更新日: 2026 年 8 月 13 日 午前 9 時 45 分（PDT）
説明:
OpenSearch は、コミュニティ主導型のオープンソースの検索および分析スイートです。CVE-2026-18952 は、OpenSearch セキュリティ分析プラグインの脅威インテリジェンスフィードパーサーに入力検証が欠落している問題であることが判明しました。この問題により、security_analytics_full_access ロールを持つ認証されたユーザーが、サーバーサイドリクエストフォージェリ (SSRF) を実行し、脅威インテリジェンスソース構成エンドポイントに送信される細工された URL パラメーターを介してローカルファイルを読み取る可能性があります。
影響を受けるバージョン:
OpenSearch セキュリティ分析プラグイン (オープンソース、セルフマネージド):
- 影響を受けるのは: >= 2.15.0
- 修正済み: >= 3.5.0
Amazon OpenSearch Service (AWS Managed):
- 影響を受けるのは: エンジンバージョン >= 2.15.0 を実行しているドメイン
- 修正済み: エンジンバージョン 3.5 のサービスソフトウェアアップデートで解決されました。影響を受ける機能は、デフォルトのサービス構成では有効になっていません。
解決方法:
- OpenSearch セキュリティ分析プラグイン (オープンソース、セルフマネージド):
可能な場合は、関連するセキュリティアドバイザリで指定されているバージョンにアップグレードしてください。このアップデートでは、脅威インテリジェンスフィード設定の入力検証の問題が解決されます。 - Amazon OpenSearch Service (AWS Managed):
お客様には、できるだけ早くドメインを最新のサービスソフトウェアバージョンに更新することをお勧めします。エンジンバージョンのアップグレードは不要です。コンソールからアップデートを適用するには、ドメインを選択し、[アクション]、[サービスソフトウェアバージョン] の順に選択して [アップデート] をクリックします。自動ソフトウェア更新が有効になっているドメインは、次のオフピーク時にこの更新を受け取り、何もする必要はありません。詳細については、「Amazon OpenSearch Service のサービスソフトウェアの更新」を参照してください。
回避策:
すぐにアップグレードできない場合は、security_analytics_full_access ロールへのアクセスを信頼できるユーザーのみに制限してください。さらに、ネットワークポリシーまたはプロキシルールを適用して、OpenSearch ノードから localhost および内部メタデータエンドポイントへのアウトバウンドリクエストをブロックできます。
参考情報:
セキュリティに関する質問や懸念がある場合は、aws-security@amazon.com までメールでお問い合わせください。