Tenable ブログ
ブログ通知を受信する
CVE-2019-11581：Atlassian Jira Server および Data Center における重大なテンプレートインジェクションの脆弱性
約8年前にJira ServerおよびData Centerで発生した脆弱性により、リモートからコードが実行される可能性があります。
背景
7月10日、アトラシアンはJira ServerとJira Data Centerの重大な脆弱性を解決するためにセキュリティアドバイザリ2019-07-10を公開しました。Jira ServerはアトラシアンのJiraチケットシステムを管理および制御し、Jira Data Centerは管理者がJiraサーバーのビジネス全体の管理とスケーラビリティを管理します。
分析
CVE-2019-11581は、Jira ServerおよびData Centerにおける「さまざまなリソース」におけるサーバーサイドのテンプレートインジェクションの脆弱性で、アドバイザリによると、この脆弱性は2011年8月にリリースされたバージョン4.4.0で発生した約8年前のものです。
テンプレートインジェクションの脆弱性は、JJira ServerおよびData CenterのContactAdministratorsとSendBulkMailに存在します。ただし、この脆弱性を悪用するには、SMTPサーバーを設定し、Contact Administrators Formを有効にする（認証されていないユーザーによる攻撃）か、「IRA管理者」アクセス（認証されたユーザーによる攻撃）を行う必要があります。攻撃者はこの脆弱性を突き、Jiraシステムでリモートからコードを実行する可能性があります。
概念実証
この脆弱性が公開された時点では、概念実証（PoC）は公開されていません。しかし、2019年3月のConfluence Widget Connectorの脆弱性に対するアトラシアンのアドバイザリ（CVE-2019-3395、CVE-2019-3396）と同様に、概念実証は近日中に公開されることが予想されます。
ソリューション
分析のセクションで述べたように、CVE-2019-11581はJira Server and Data Centerバージョン4.4.0で発生しました。この脆弱性に対処するパッチバージョンは、8.0.3、8.1.2、8.2.3、および、Enterprise releases 7.6.14、7.13.5です。以下の表は、脆弱性のあるバージョンと関連する修正済みバージョンを示しています。
| 影響を受けるバージョン | 修正済みバージョン |
|---|---|
| 4.4.x | 7.6.14, 7.13.5, 8.0.3, 8.1.2, 8.2.3 |
| 5.x.x | 7.6.14, 7.13.5, 8.0.3, 8.1.2, 8.2.3 |
| 6.x.x | 7.6.14, 7.13.5, 8.0.3, 8.1.2, 8.2.3 |
| 7.0.x | 7.6.14, 7.13.5, 8.0.3, 8.1.2, 8.2.3 |
| 7.1.x | 7.6.14, 7.13.5, 8.0.3, 8.1.2, 8.2.3 |
| 7.2.x | 7.6.14, 7.13.5, 8.0.3, 8.1.2, 8.2.3 |
| 7.3.x | 7.6.14, 7.13.5, 8.0.3, 8.1.2, 8.2.3 |
| 7.4.x | 7.6.14, 7.13.5, 8.0.3, 8.1.2, 8.2.3 |
| 7.5.x | 7.6.14, 7.13.5, 8.0.3, 8.1.2, 8.2.3 |
| 7.6.x（7.6.14） | 7.6.14, 7.13.5 (エンタープライズリリース) |
| 7.7.x | 7.13.5, 8.0.3, 8.1.2, 8.2.3 |
| 7.8.x | 7.13.5, 8.0.3, 8.1.2, 8.2.3 |
| 7.9.x | 7.13.5, 8.0.3, 8.1.2, 8.2.3 |
| 7.10.x | 7.13.5, 8.0.3, 8.1.2, 8.2.3 |
| 7.11.x | 7.13.5, 8.0.3, 8.1.2, 8.2.3 |
| 7.12.x | 7.13.5, 8.0.3, 8.1.2, 8.2.3 |
| 7.13.x（7.13.5未満） | 7.13.5 (エンタープライズリリース) |
| 8.0.x （8.0.3未満） | 8.0.3 |
| 8.1.x（8.1.2未満） | 8.1.2 |
| 8.2.x （8.2.3未満） | 8.2.3 |
また、4.2.3以前のJira Service Deskバージョン3.0.0をインストールしているお客様も、この脆弱性の影響を受ける可能性があるとアトラシアンは述べています。アトラシアンは、Jira Service Deskバージョンが影響を受けるかどうかを判断するのを支援するために互換性マトリックスを提供しています。
また、アトラシアンは、Jira Cloudのお客様は、この脆弱性の影響を受けていないことを指摘しています。
現時点でパッチが適用されたJira ServerまたはData Centerバージョンにアップグレードできない場合は、アトラシアンは次の一時的な回避策を推薦しています。
- まず、Contact Administrators Formを無効にする
- 次に/secure/admin/SendBulkMail!default.jspaエンドポイントへのアクセスをブロックする
影響を受けているシステムの特定
この脆弱性を識別するための Tenable のプラグインのリストは、リリースされた時点で こちら に表示されます。
さらに、アトラシアンは、攻撃者がCVE-2019-11851を突いてJiraインスタンスを危険にさらしたかどうかを識別するのに役立つサポート文書を提供しています。
詳細情報
Tenable コミュニティの Tenable セキュリティレスポンスチームに参加してみませんか。
現代のアタックサーフェスを総合的に管理する Cyber Exposure Platform を初めて提供した Tenable について詳細情報をご覧ください。
Tenable.io60日間無料トライルを入手する。
関連記事
Cybersecurity Snapshot: Find MITRE ATT&CK Complex? Need Help Mapping to It? There’s an App for That!
March 10, 2023Learn about a new tool that streamlines MITRE ATT&CK mapping. Plus, known vulnerabilities remain a major cyber risk – just ask LastPass. Also, discover why SaaS data protection remains difficult. Plus, a look at the U.S. National Cybersecurity Strategy. And much more!
The Ransomware Ecosystem: In Pursuit of Fame and Fortune
July 28, 2022The key players within the ransomware ecosystem, including affiliates and initial access brokers, work together cohesively like a band of musicians, playing their respective parts as they strive for fame and fortune.
Brazen, Unsophisticated and Illogical: Understanding the LAPSUS$ Extortion Group
July 20, 2022Having gained the industry’s attention in the first months of 2022, the LAPSUS$ extortion group has largely gone quiet. What can we learn from this extortion group’s story and tactics?
Cybersecurity Snapshot: Latest MITRE ATT&CK Update Offers Security Insights on GenAI, Identity, Cloud and CI/CD
April 26, 2024Check out what’s new in Version 15 of the MITRE ATT&CK knowledge base of adversary tactics, techniques and procedures. Plus, learn the latest details about the Change Healthcare breach, including the massive scope of the data exfiltration. In addition, why AI cyberthreats aren’t impacting CISOs’ budgets. And much more!
CVE-2024-20353, CVE-2024-20359: Frequently Asked Questions About ArcaneDoor
April 25, 2024Frequently asked questions about CVE-2024-20353 and CVE-2024-20359, two vulnerabilities associated with “ArcaneDoor,” the espionage-related campaign targeting Cisco Adaptive Security Appliances.
CVE-2024-4040: CrushFTP Virtual File System (VFS) Sandbox Escape Vulnerability Exploited
April 23, 2024A zero-day vulnerability in CrushFTP was exploited in the wild against multiple U.S. entities prior to fixed versions becoming available as the vendor recommends customers upgrade as soon as possible.
- Threat Intelligence
- Threat Management
- Vulnerability Management
- Vulnerability Scanning