Atlassian JIRA < 8.5.13 / 8.6.x < 8.13.5 / 8.14.x < 8.15.1の複数の脆弱性

medium Nessus プラグイン ID 148391

Language:

概要

リモートWebサーバーは、複数の脆弱性の影響を受けるWebアプリケーションをホストしています。

説明

自己報告されたバージョン番号によると、リモートのWebサーバーでホストされているAtlassian JIRAのインスタンスは、複数の脆弱性の影響を受ける可能性があります。

- バージョン8.5.13以前、バージョン8.13.5より前のバージョン8.6.0以降、バージョン8.15.1より前のバージョン8.14.0以降のJiraサーバーとデータセンターの/rest/api/1.0/renderにより、リモートの匿名の攻撃者が権限チェックの欠如を通してユーザー名が有効かどうかを判断できます。（CVE-2020-36238）

-- バージョン8.5.13以前、バージョン8.13.5より前のバージョン8.6.0以降、バージョン8.15.1より前のバージョン8.14.0以降のJiraサーバーとデータセンターのmembersOf JQL検索関数により、リモートの匿名の攻撃者がグループが存在するか、グループのメンバーが割り当てられているかどうかを判断できます。（CVE-2020-36286）
- バージョン8.5.13以前、バージョン8.13.5より前のバージョン8.6.0以降、バージョン8.15.1より前のバージョン8.14.0以降のJiraサーバーとデータセンターのSetFeatureEnabled.jspaリソースにより、リモートの匿名の攻撃者がクロスサイトリクエスト偽造（CSRF）の脆弱性を通してJiraソフトウェア構成を有効/無効にすることができます。（CVE-2021-26071）

Nessusはこの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョンにのみ依存しています。