Tenable ブログ
ブログ通知を受信する
CVE-2019-11580：Atlassian Crowdのリモートでコードが実行される重大な脆弱性に対する概念実証
Atlassian Crowdにおける重大な脆弱性の概念実証が公開されました。この脆弱性には5月22日にパッチが適用されています。
背景
7月14日、セキュリティ研究者のCorben Leoは、Atlassian Crowdの脆弱性の分析を詳述したブログを公開しました。この剤弱性には最近パッチが適用されています。Atlassian Crowdは、Active Directory（AD）、ライトウェイトディレクトリアクセスプロトコル（LDAP）、OpenLDAP、およびMicrosoft Azure ADのアクセス制御用のユーザー管理アプリケーションです。
分析
5月22日、アトラシアンはCVE-2019-11580に対処するためにCrowd Security Advisory 2019-05-22を公開しました。アドバイザリによると、CrowdとCrowd Data Centerではリリースされたバージョンでpdkinstallの開発プラグインが誤って有効にされたとのことです。この脆弱性を突くと、攻撃者は認証されていないユーザーによる要求または認証されたユーザーによる要求をCrowdまたはCrowd Data Centerインスタンスに送信し、任意のプラグインをインストールすることができます。
Leoは、pdkinstallプラグインとPdkInstallFilterサーブレットを分析し、この分析を利用して作成した概念実証（PoC）をブログで公開しています。この概念実証では、認証されたユーザーとしてAtlassian Crowdでリモートでコードを実行できることが実証されています。
画像出典：Corben Leo
概念実証
Leoのブログ記事で概念実証の一部として使用された悪質なプラグインはGitHubにも公開されています。
curl -k -H "Content-Type: multipart/mixed" \ --form "[email protected]" http://localhost:4990/crowd/admin/uploadplugin.action
ソリューション
アトラシアンは5月22日にCrowdおよびCrowd Data Centerの修正バージョンを公開しました。修正バージョンには、3.0.5, 3.1.6, 3.2.8, 3.3.5、および、3.4.4が含まれています。次の表は、脆弱性のあるバージョンと関連する修正済みのバージョンの一覧です。
|
影響を受けるバージョン |
修正済みバージョン |
|
2.1.0, 2.1.1, 2.1.2, 2.2.0, 2.2.1, 2.2.2, 2.2.3, 2.2.4, 2.2.5, 2.2.6, 2.2.7, 2.2.8, 2.2.9, 2.3.0, 2.3.1, 2.3.2, 2.3.3, 2.3.4, 2.3.5, 2.3.6, 2.3.7, 2.3.8, 2.3.9, 2.3.10, 2.4.0, 2.4.1, 2.4.2, 2.4.3, 2.4.4, 2.4.5, 2.4.6, 2.4.7, 2.4.8, 2.4.9, 2.4.10, 2.4.11, 2.5.0, 2.5.1, 2.5.2, 2.5.3, 2.5.4, 2.5.5, 2.5.6, 2.5.7, 2.6.0, 2.6.1, 2.6.2, 2.6.3, 2.6.4, 2.6.5, 2.6.6, 2.6.7, 2.7.0, 2.7.1, 2.7.2, 2.8.0, 2.8.1, 2.8.2, 2.8.3, 2.8.4, 2.8.6, 2.8.7, 2.8.8, 2.9.1, 2.9.2, 2.9.3, 2.9.4, 2.9.5, 2.9.6, 2.9.7, 2.10.1, 2.10.2, 2.10.3, 2.10.4, 2.11.0, 2.11.1, 2.11.2, 2.12.0, 2.12.1, 3.0.0, 3.0.1, 3.0.2, 3.0.3, 3.0.4 |
|
|
3.1.0, 3.1.1, 3.1.2, 3.1.3, 3.1.4, 3.1.5 |
|
|
3.2.0, 3.2.1, 3.2.2, 3.2.3, 3.2.4, 3.2.5, 3.2.6, 3.2.7 |
|
|
3.3.0, 3.3.1, 3.3.2, 3.3.3, 3.3.4 |
|
|
3.4.0, 3.4.1, 3.4.2, 3.4.3 |
修正版のAtlassian Crowdにアップグレードすることが現時点で可能でがない場合、アトラシアンのセキュリティアドバイザリで提供された緩和策を参照してください。また、セキュリティアドバイザリでは、Linuxシステムの緩和策を自動化するためのbashスクリプトも提供されています。
影響を受けているシステムの特定
この脆弱性を識別するための Tenable プラグインのリストは、こちらからご覧いただけます。
詳細情報
Tenable コミュニティの Tenable セキュリティレスポンスチームに参加してみませんか。
最新のアタックサーフェスを総合的に管理する初のサイバーエクスポージャープラットフォーム、 Tenable.io の詳細情報をご覧ください。今すぐ Tenable.io Vulnerability Management の60日間無料トライアルをお試しください。
関連記事
Securing Financial Data in the Cloud: How Tenable Can Help
November 4, 2024Preventing data loss, complying with regulations, automating workflows and managing access are four key challenges facing financial institutions. Learn how Tenable can help.
Cybersecurity Snapshot: Apply Zero Trust to Critical Infrastructure’s OT/ICS, CSA Advises, as Five Eyes Spotlight Tech Startups’ Security
November 1, 2024Should critical infrastructure orgs boost OT/ICS systems’ security with zero trust? Absolutely, the CSA says. Meanwhile, the Five Eyes countries offer cyber advice to tech startups. Plus, a survey finds “shadow AI” weakening data governance. And get the latest on MFA methods, CISO trends and Uncle Sam’s AI strategy.
FY 2024 State and Local Cybersecurity Grant Program Adds CISA KEV as a Performance Measure
October 31, 2024The CISA Known Exploited Vulnerabilities (KEV) catalog and enhanced logging guidelines are among the new measurement tools added for the 2024 State and Local Cybersecurity Grant Program.