リモートホストにインストールされている Atlassian Jira のバージョンは、8.13.x < 8.13.21/ 8.20.x< 8.20.9/ 8.22.x< 8.22.3/ 9.0.0より前です。したがって、JRASERVER-73885 のアドバイザリに記載されている脆弱性の影響を受けます。

  - Jira が使用していた {{log4j}} のバージョンが、バージョン * 1.2.7-atlassian-3 * から
    *1.2.7-atlassian-16* に更新されました。以下の脆弱性に対処しています。
    [CVE-2021-4104|https://www.cve.org/CVERecord?id=CVE-2021-4104] JMSAppender は、逆シリアル化の欠陥に対して脆弱です。権限のあるローカルの攻撃者がこれを悪用し、任意のコードを実行する可能性があります。Jira は JMSAppender を使用するように構成されていません。また、Jira での JMSAppender の使用に関するドキュメントも Atlassian は提供していません。Atlassian は {{{}log4j{}}} Atlassian バージョンの外部の JNDI 検索 https://bitbucket.org/atlassian/log4j1/pull-requests/9を防ぐことにより、この脆弱性を修正しました。[CVE-2020-9493|https://www.cve.org/CVERecord?id=CVE-2020-9493] および [CVE-2022-23307|https://www.cve.org/CVERecord?id=CVE-2022-23307] Apache Chainsaw は {{log4j}} 1.2.xとバンドルされており、逆シリアル化の欠陥に対して脆弱です。認証されていないリモートの攻撃者は、これを悪用して、任意のコードを実行することがあります。注意：Chainsaw は手動で実行されるように設計されたログビューアーです。Jira はこれを必要とせず、デフォルトで実行されることもありませんし、Atlassian が Jira での Chainsaw の使用に関するドキュメントを提供することもありません。Atlassian は {{{}log4j{}}} の Atlassian バージョンから Chainsaw https://bitbucket.org/atlassian/log4j1/commits/3a06f7e94efa98331a875532212a3005fd9766d0を除去することにより、この脆弱性を修正しています。[CVE-2022-23302|https://www.cve.org/CVERecord?id=CVE-2022-23302]JMSSink は逆シリアル化の欠陥に対して脆弱です。権限のあるローカルの攻撃者がこれを悪用し、任意のコードを実行する可能性があります。Jira は JMSSink を使用するように構成されていません。また、Jira での JMSSink の使用に関するドキュメントも Atlassian は提供していません。Atlassian は {{{}log4j{}}} の Atlassian バージョンから JMSSink https://bitbucket.org/atlassian/log4j1/commits/48b34334e5278dfd52b361b1ec6943ca4c3b997eを削除することにより、この脆弱性を修正しています。[CVE-2022-23305|https://www.cve.org/CVERecord?id=CVE-2022-23305]JDBCAppender は、メッセージコンバーター ({{{}%m{}}}) を使用するよう構成されている場合、SQL インジェクションに対して脆弱です。リモートの認証されていない攻撃者はこれを悪用して、任意の SQL クエリを実行する可能性があります。Jira はデフォルトで、JDBCAppender を使用するように構成されていません。また、Jira での JDBCAppender の使用に関するドキュメントも Atlassian は提供していません。Atlassian は {{{}log4j{}}} の Atlassian バージョンから JDBCAppender|https://bitbucket.org/atlassian/log4j1/commits/b933fe460d64ccfc027b4efee74a5ce1875fe3be を除去することにより、この脆弱性を修正しました。影響を受ける Jira のバージョン：* バージョン < 8.13.21* 8.14.xから 8.19.xまでのすべてのバージョン * バージョン 8.21.x* バージョン 8.22.x< 8.22.3Jira の修正バージョン: *バージョン 8.13.x> = 8.13.21*バージョン 8.20.x> = 8.20.9*バージョン 8.22.x> = 8.22.3*バージョン> = 9.0.0(atlassian-JRASERVER-73885)

Nessusはこの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

検出

Atlassian Jira 8.13.x< 8.13.21/ 8.20.x< 8.20.9/ 8.22.x< 8.22.3/ 9.0.0SQLI (JRASERVER-73885)

critical Nessus プラグイン ID 162398

バージョン 1.4