The version of Atlassian Jira installed on the remote host is prior to 8.13.x < 8.13.21 / 8.20.x < 8.20.9 / 8.22.x < 8.22.3 / 9.0.0. It is, therefore, affected by a vulnerability as referenced in the JRASERVER-73885 advisory.

  - The version of {{log4j}} used by Jira has been updated from version *1.2.7-atlassian-3* to
    *1.2.7-atlassian-16* to address the following vulnerabilities:
    [CVE-2021-4104|https://www.cve.org/CVERecord?id=CVE-2021-4104] JMSAppender is vulnerable to a     deserialization flaw. A local attacker with privileges to update the Jira configuration can exploit this     to execute arbitrary code. Jira is not configured to use JMSAppender, nor does Atlassian provide any     documentation on using JMSAppender with Jira. Atlassian has [remediated this vulnerability by preventing     external JNDI lookups|https://bitbucket.org/atlassian/log4j1/pull-requests/9] in the Atlassian version of     {{{}log4j{}}}. [CVE-2020-9493|https://www.cve.org/CVERecord?id=CVE-2020-9493] and     [CVE-2022-23307|https://www.cve.org/CVERecord?id=CVE-2022-23307] Apache Chainsaw is bundled with {{log4j}}     1.2.x, and is vulnerable to a deserialization flaw. A remote, unauthenticated attacker could exploit this     to execute arbitrary code. Please note that Chainsaw is a log viewer that is designed to be executed     manually. It is not required by Jira, nor is it executed by default, nor does Atlassian provide any     documentation on using Chainsaw with Jira. Atlassian has [remediated this vulnerability by removing     Chainsaw|https://bitbucket.org/atlassian/log4j1/commits/3a06f7e94efa98331a875532212a3005fd9766d0] from the     Atlassian version of {{{}log4j{}}}. [CVE-2022-23302|https://www.cve.org/CVERecord?id=CVE-2022-23302]     JMSSink is vulnerable to a deserialization flaw. A local attacker with privileges to update the Jira     configuration can exploit this to execute arbitrary code. Jira is not configured to use JMSSink by     default, nor does Atlassian provide any documentation on using JMSSink with Jira. Atlassian has     [remediated this vulnerability by removing     JMSSink|https://bitbucket.org/atlassian/log4j1/commits/48b34334e5278dfd52b361b1ec6943ca4c3b997e] from the     Atlassian version of {{{}log4j{}}}. [CVE-2022-23305|https://www.cve.org/CVERecord?id=CVE-2022-23305]     JDBCAppender is vulnerable to a SQL injection flaw when configured to use the message converter     ({{{}%m{}}}). A remote, unauthenticated attacker can exploit this to execute arbitrary SQL queries. Jira     is not configured to use JDBCAppender by default, nor does Atlassian provide any documentation on using     JDBCAppender with Jira. Atlassian has [remediated this vulnerability by removing     JDBCAppender|https://bitbucket.org/atlassian/log4j1/commits/b933fe460d64ccfc027b4efee74a5ce1875fe3be] from     the Atlassian version of {{{}log4j{}}}. Affected versions of Jira: * Versions < 8.13.21 * All versions     8.14.x through 8.19.x * Versions 8.21.x * Versions 8.22.x < 8.22.3 Fixed versions of Jira: * Versions     8.13.x >= 8.13.21 * Versions 8.20.x >= 8.20.9 * Versions 8.22.x >= 8.22.3 * Versions >= 9.0.0 (atlassian-     JRASERVER-73885)

Note that Nessus has not tested for this issue but has instead relied only on the application's self-reported version number.

リモートホストにインストールされている Atlassian Jira のバージョンは、8.13.x < 8.13.21/ 8.20.x< 8.20.9/ 8.22.x< 8.22.3/ 9.0.0より前です。したがって、JRASERVER-73885 のアドバイザリに記載されている脆弱性の影響を受けます。

  - Jira が使用していた {{log4j}} のバージョンが、バージョン * 1.2.7-atlassian-3 * から
    *1.2.7-atlassian-16* に更新されました。以下の脆弱性に対処しています。
    [CVE-2021-4104|https://www.cve.org/CVERecord?id=CVE-2021-4104] JMSAppender は、逆シリアル化の欠陥に対して脆弱です。権限のあるローカルの攻撃者がこれを悪用し、任意のコードを実行する可能性があります。Jira は JMSAppender を使用するように構成されていません。また、Jira での JMSAppender の使用に関するドキュメントも Atlassian は提供していません。Atlassian は {{{}log4j{}}} Atlassian バージョンの外部の JNDI 検索 https://bitbucket.org/atlassian/log4j1/pull-requests/9を防ぐことにより、この脆弱性を修正しました。[CVE-2020-9493|https://www.cve.org/CVERecord?id=CVE-2020-9493] および [CVE-2022-23307|https://www.cve.org/CVERecord?id=CVE-2022-23307] Apache Chainsaw は {{log4j}} 1.2.xとバンドルされており、逆シリアル化の欠陥に対して脆弱です。認証されていないリモートの攻撃者は、これを悪用して、任意のコードを実行することがあります。注意：Chainsaw は手動で実行されるように設計されたログビューアーです。Jira はこれを必要とせず、デフォルトで実行されることもありませんし、Atlassian が Jira での Chainsaw の使用に関するドキュメントを提供することもありません。Atlassian は {{{}log4j{}}} の Atlassian バージョンから Chainsaw https://bitbucket.org/atlassian/log4j1/commits/3a06f7e94efa98331a875532212a3005fd9766d0を除去することにより、この脆弱性を修正しています。[CVE-2022-23302|https://www.cve.org/CVERecord?id=CVE-2022-23302]JMSSink は逆シリアル化の欠陥に対して脆弱です。権限のあるローカルの攻撃者がこれを悪用し、任意のコードを実行する可能性があります。Jira は JMSSink を使用するように構成されていません。また、Jira での JMSSink の使用に関するドキュメントも Atlassian は提供していません。Atlassian は {{{}log4j{}}} の Atlassian バージョンから JMSSink https://bitbucket.org/atlassian/log4j1/commits/48b34334e5278dfd52b361b1ec6943ca4c3b997eを削除することにより、この脆弱性を修正しています。[CVE-2022-23305|https://www.cve.org/CVERecord?id=CVE-2022-23305]JDBCAppender は、メッセージコンバーター ({{{}%m{}}}) を使用するよう構成されている場合、SQL インジェクションに対して脆弱です。リモートの認証されていない攻撃者はこれを悪用して、任意の SQL クエリを実行する可能性があります。Jira はデフォルトで、JDBCAppender を使用するように構成されていません。また、Jira での JDBCAppender の使用に関するドキュメントも Atlassian は提供していません。Atlassian は {{{}log4j{}}} の Atlassian バージョンから JDBCAppender|https://bitbucket.org/atlassian/log4j1/commits/b933fe460d64ccfc027b4efee74a5ce1875fe3be を除去することにより、この脆弱性を修正しました。影響を受ける Jira のバージョン：* バージョン < 8.13.21* 8.14.xから 8.19.xまでのすべてのバージョン * バージョン 8.21.x* バージョン 8.22.x< 8.22.3Jira の修正バージョン: *バージョン 8.13.x> = 8.13.21*バージョン 8.20.x> = 8.20.9*バージョン 8.22.x> = 8.22.3*バージョン> = 9.0.0(atlassian-JRASERVER-73885)

Nessusはこの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

遠端主機上安裝的 Atlassian Jira 版本低於 8.13.x < 8.13.21 / 8.20.x < 8.20.9 / 8.22.x < 8.22.3 / 9.0.0。因此，該應用程式會受到 JRASERVER-73885 公告中所提及的一個弱點影響。

  - Jira 使用的 {{log4j}} 版本已從 *1.2.7-atlassian-3* 更新至
    *1.2.7-atlassian-16*，目的在於解決下列弱點：
    [CVE-2021-4104|https://www.cve.org/CVERecord?id=CVE-2021-4104] JMSAppender 容易受到還原序列化缺陷的影響。具有更新 Jira 組態的特權的本機攻擊者可利用此缺陷執行任意程式碼。Jira 未設定為使用 JMSAppender，Atlassian 也未提供有關將 Jira 與 JMSAppender 搭配使用的任何文件。Atlassian [已透過在 {{}log4j{}}} 的 Atlassian 版本中防止外部 JNDI 查詢|https://bitbucket.org/atlassian/log4j1/pull-requests/9] 修復了此弱點。[CVE-2020-9493|https://www.cve.org/CVERecord?id=CVE-2020-9493] 與 [CVE-2022-23307|https://www.cve.org/CVERecord?id=CVE-2022-23307] Apache Chainsaw 隨附於 {{log4j}} 1.2.x，並且容易受到還原序列化缺陷的影響。未經驗證的遠端攻擊者可惡意利用此弱點執行任意程式碼。請注意，Chainsaw 是一種設計為手動執行的記錄檢視器。Jira 不需要、也不會預設執行 Chainsaw，Atlassian 也不提供將 Jira 與 Chainsaw 搭配使用的任何文件。Atlassian [已透過從 Atlassian {{}log4j{}}} 版本中刪除 Chainsaw|https://bitbucket.org/atlassian/log4j1/commits/3a06f7e94efa98331a875532212a3005fd9766d0] 修復了此弱點。[CVE-2022-23302|https://www.cve.org/CVERecord?id=CVE-2022-23302]JMSSink 容易受到還原序列化缺陷的影響。具有更新 Jira 組態的特權的本機攻擊者可利用此缺陷執行任意程式碼。Jira 未設定為在預設情況下使用 JMSSink，Atlassian 也未提供有關將 Jira 與 JMSSink 搭配使用的任何文件。Atlassian [已透過從 Atlassian {{}log4j{}}} 版本中刪除 JMSSink|https://bitbucket.org/atlassian/log4j1/commits/48b34334e5278dfd52b361b1ec6943ca4c3b997e] 修復了此弱點。[CVE-2022-23305|https://www.cve.org/CVERecord?id=CVE-2022-23305]在設定為使用訊息轉換器 ({{{}%m{}}}) 時，JDBCAppender 容易受到 SQL 注入攻擊缺陷的影響。未經驗證的遠端攻擊者可利用此弱點，執行任意 SQL 查詢。Jira 未設定為在預設情況下使用 JDBCAppender，Atlassian 也未提供有關將 Jira 與 JDBCAppender 搭配使用的任何文件。Atlassian [已透過從 Atlassian {{}log4j{}}} 版本中刪除 JDBCAppender|https://bitbucket.org/atlassian/log4j1/commits/b933fe460d64ccfc027b4efee74a5ce1875fe3be] 修復了此弱點。受影響的 Jira 版本：* 低於 8.13.21 的版本* 8.14.x 到 8.19.x 的所有版本* 版本 8.21.x* 低於 8.22.3 的版本 8.22.x Jira 的固定版本：* 高於或等於 8.13.21 的版本 8.13.x* 高於或等於 8.20.9 的版本 8.20.x*  高於或等於 8.22.3 的版本 8.22.x* 高於或等於 9.0.0 的版本 (atlassian-JRASERVER-73885)

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

远程主机受到 GLSA-202402-16 中所述漏洞的影响（Apache Log4j：多个漏洞）

  - Log4j 1.2 中包含的 SocketServer 类容易受到不受信任数据反序列化的影响；在侦听不受信任的网络流量网络日志数据时与反序列化小工具相结合，其会被利用来远程执行任意代码。此问题会影响的 Log4j 最高版本为 1.2 和 1.2.17。
    (CVE-2019-17571)

  - 未正确验证 Apache Log4j SMTP 附加程序中与主机不匹配的证书。这让 SMTPS 连接可遭到中间人攻击拦截，进而泄露通过该附加程序发送的任何日志消息。已在 Apache Log4j 2.12.3 和 2.13.1 中修复 (CVE-2020-9488)

  - 在 2.1.0 之前的 Apache Chainsaw 版本中发现一个反序列化缺陷，可导致恶意代码执行。(CVE-2020-9493)

  - 当攻击者对 Log4j 配置具有写入访问权限或该配置引用攻击者具有访问权限的 LDAP 服务时，所有 Log4j 1.x 版本中的 JMSSink 都容易受到反序列化不受信任数据的影响。攻击者可通过提供 TopicConnectionFactoryBindingName 配置，导致 JMSSink 以与 CVE-2021-4104 类似的方式执行 JNDI 请求，从而造成远程代码执行。请注意，此问题仅影响特别配置为使用 JMSSink（非默认设置）的 Log4j 1.x 。Apache Log4j 1.2 已于 2015 年 8 月结束生命周期。用户应升级到 Log4j 2，因为该版本可解决先前版本中存在的许多其他问题。(CVE-2022-23302)

  - 按照设计，Log4j 1.2.x 中的 JDBCAppender 接受 SQL 语句作为配置参数，其中要插入的值为来自 PatternLayout 的转换器。可能始终包含消息转换器 %m。这允许攻击者通过在所记录应用程序的输入字段或标头中输入构建的字符串来操纵 SQL，从而允许执行非预期的 SQL 查询。请注意，此问题仅影响特别配置为使用 JDBCAppender（非默认设置）的 Log4j 1.x 。
    从 2.0-beta8 版本开始，重新引入 JDBCAppender，以适当支持参数化 SQL 查询，并对日志中写入的列进行进一步自定义。Apache Log4j 1.2 已于 2015 年 8 月结束生命周期。用户应升级到 Log4j 2，因为该版本可解决先前版本中存在的许多其他问题。(CVE-2022-23305)

请注意，Nessus 尚未测试这些问题，而是只依靠应用程序自我报告的版本号来判断。

远程主机上安装的 Atlassian Jira 版本低于 8.13.x < 8.13.21 / 8.20.x < 8.20.9 / 8.22.x < 8.22.3 / 9.0.0。因此，该应用程序受到 JRASERVER-73885 公告中提及的一个漏洞的影响。

  - Jira 使用的 {{log4j}} 版本已从 *1.2.7-atlassian-3* 更新到
    *1.2.7-atlassian-16*，目的在于解决以下漏洞：
    [CVE-2021-4104|https://www.cve.org/CVERecord?id=CVE-2021-4104] JMSAppender 容易受到反序列化缺陷的影响。具有更新 Jira 配置特权的本地攻击者可利用此缺陷执行任意代码。Jira 未配置为使用 JMSAppender，Atlassian 也未提供有关将 JMSAppender 与 Jira 配合使用的任何文档。Atlassian [已通过在 Atlassian {{{}log4j{}}} 版本中阻止外部 JNDI 查找|https://bitbucket.org/atlassian/log4j1/pull-requests/9] 修复了此漏洞。[CVE-2020-9493|https://www.cve.org/CVERecord?id=CVE-2020-9493] 和 [CVE-2022-23307|https://www.cve.org/CVERecord?id=CVE-2022-23307] Apache Chainsaw 与 {{log4j}} 1.2.x 绑定，并且容易受到反序列化缺陷的影响。未经身份验证的远程攻击者可利用此漏洞执行任意代码。请注意，Chainsaw 是一种设计用于手动执行的日志查看器。Jira 不需要、默认情况下也不会执行 Chainsaw，且 Atlassian 也不会提供有关将 Chainsaw 与 Jira 配合使用的任何文档。Atlassian [已通过从 Atlassian {{{}log4j{}}} 版本中移除 Chainsaw|https://bitbucket.org/atlassian/log4j1/commits/3a06f7e94efa98331a875532212a3005fd9766d0] 修复了此漏洞。[CVE-2022-23302|https://www.cve.org/CVERecord?id=CVE-2022-23302]JMSSink 容易受到反序列化缺陷的影响。具有更新 Jira 配置特权的本地攻击者可利用此缺陷执行任意代码。Jira 未配置为在默认情况下使用 JMSSink，Atlassian 也未提供有关将 JMSSink 与 Jira 配合使用的任何文档。Atlassian [已通过从 Atlassian {{{}log4j{}}} 版本中移除 JMSSink|https://bitbucket.org/atlassian/log4j1/commits/48b34334e5278dfd52b361b1ec6943ca4c3b997e] 修复了此漏洞。[CVE-2022-23305|https://www.cve.org/CVERecord?id=CVE-2022-23305]在配置为使用消息转换器 ({{{}%m{}}}) 时，JDBCAppender 容易受到 SQL 注入缺陷的影响。未经身份验证的远程攻击者可利用此缺陷来执行任意 SQL 查询。Jira 未配置为在默认情况下使用 JDBCAppender，Atlassian 也未提供有关将 JDBCAppender 与 Jira 配合使用的任何文档。Atlassian [已通过从 Atlassian {{{}log4j{}}} 版本中移除 JDBCAppender|https://bitbucket.org/atlassian/log4j1/commits/b933fe460d64ccfc027b4efee74a5ce1875fe3be] 修复了此漏洞。受影响的 Jira 版本：* 早于 8.13.21 的版本* 8.14.x 到 8.19.x 的所有版本* 版本 8.21.x * 8.22.3 之前的版本 8.22.x Jira 的固定版本：* 高于或等于 8.13.21 的版本 8.13.x* 高于或等于 8.20.9 的版本 8.20.x* 高于或等于 8.22.3 的版本 8.22.x* 高于或等于 9.0.0 的版本 (atlassian-JRASERVER-73885)

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

The remote host is affected by the vulnerability described in GLSA-202402-16 (Apache Log4j: Multiple Vulnerabilities)

  - Included in Log4j 1.2 is a SocketServer class that is vulnerable to deserialization of untrusted data     which can be exploited to remotely execute arbitrary code when combined with a deserialization gadget when     listening to untrusted network traffic for log data. This affects Log4j versions up to 1.2 up to 1.2.17.
    (CVE-2019-17571)

  - Improper validation of certificate with host mismatch in Apache Log4j SMTP appender. This could allow an     SMTPS connection to be intercepted by a man-in-the-middle attack which could leak any log messages sent     through that appender. Fixed in Apache Log4j 2.12.3 and 2.13.1 (CVE-2020-9488)

  - A deserialization flaw was found in Apache Chainsaw versions prior to 2.1.0 which could lead to malicious     code execution. (CVE-2020-9493)

  - JMSSink in all versions of Log4j 1.x is vulnerable to deserialization of untrusted data when the attacker     has write access to the Log4j configuration or if the configuration references an LDAP service the     attacker has access to. The attacker can provide a TopicConnectionFactoryBindingName configuration causing     JMSSink to perform JNDI requests that result in remote code execution in a similar fashion to     CVE-2021-4104. Note this issue only affects Log4j 1.x when specifically configured to use JMSSink, which     is not the default. Apache Log4j 1.2 reached end of life in August 2015. Users should upgrade to Log4j 2     as it addresses numerous other issues from the previous versions. (CVE-2022-23302)

  - By design, the JDBCAppender in Log4j 1.2.x accepts an SQL statement as a configuration parameter where the     values to be inserted are converters from PatternLayout. The message converter, %m, is likely to always be     included. This allows attackers to manipulate the SQL by entering crafted strings into input fields or     headers of an application that are logged allowing unintended SQL queries to be executed. Note this issue     only affects Log4j 1.x when specifically configured to use the JDBCAppender, which is not the default.
    Beginning in version 2.0-beta8, the JDBCAppender was re-introduced with proper support for parameterized     SQL queries and further customization over the columns written to in logs. Apache Log4j 1.2 reached end of     life in August 2015. Users should upgrade to Log4j 2 as it addresses numerous other issues from the     previous versions. (CVE-2022-23305)

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

遠端主機受到 GLSA-202402-16 中所述的弱點影響 (Apache Log4j：多個弱點)

  - Log4j 1.2 中包含的一個 SocketServer 類別，此類別容易受到將未受信任資料還原序列化的影響，在接聽記錄資料的未受信任網路流量時，若與還原序列化小工具結合，惡意人士可能會惡意利用未受信任資料來從遠端執行任意程式碼。這會影響到 1.2 至 1.2.17 的 Log4j 版本。
    (CVE-2019-17571)

  - Apache Log4j SMTP 附加器中存在不當驗證與主機不相符的憑證錯誤。該錯誤允許 SMTPS 連線遭到攔截式攻擊攔截，進而洩漏透過該附加程式傳送的任何記錄訊息。已在 Apache Log4j 2.12.3 和 2.13.1 中修正 (CVE-2020-9488)

  - 在 2.1.0 之前的 Apache Chainsaw 版本中發現一個還原序列化缺陷，可導致惡意程式碼執行。(CVE-2020-9493)

  - 當攻擊者具有 Log4j 組態的寫入存取權，或組態參照攻擊者有權存取的 LDAP 服務時，所有 Log4j 1.x 版本中的 JMSSink 都容易受到未受信任資料的還原序列化影響。攻擊者可藉助提供 TopicConnectionFactoryBindingName 組態，造成 JMSSink 以與 CVE-2021-4104 類似的方式執行可導致遠端程式碼執行情形的 JNDI 要求。請注意，此問題只會在特別設定為使用 JMSSink (非預設) 時影響 Log4j 1.x。Apache Log4j 1.2 已於 2015 年 8 月結束其生命週期。使用者應升級至 Log4j 2，因為該版本可解決先前版本中的許多其他問題。(CVE-2022-23302)

  - 根據設計，Log4j 1.2.x 中的 JDBCAppender 接受 SQL 陳述式做為組態參數，其中要插入的值是來自 PatternLayout 的轉換器。此情形可能一律包含訊息轉換器 %m。攻擊者可藉此將建構的字串輸入已記錄應用程式的輸入欄位或標頭，進而透過允許執行非預期的 SQL 查詢來操控 SQL。請注意，此問題只會在特別設定為使用 JDBCAppender (非預設) 時影響 Log4j 1.x。
    從 2.0-beta8 版開始，JDBCAppender 重新引入，可適當支援參數化 SQL 查詢，並進一步自訂記錄中的欄位。Apache Log4j 1.2 已於 2015 年 8 月結束其生命週期。使用者應升級至 Log4j 2，因為該版本可解決先前版本中的許多其他問題。(CVE-2022-23305)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
162398	Atlassian Jira 8.13.x < 8.13.21 / 8.20.x < 8.20.9 / 8.22.x < 8.22.3 / 9.0.0 SQLI (JRASERVER-73885)	Nessus	CGI abuses	2022/6/18	2024/6/5	critical
162398	Atlassian Jira 8.13.x< 8.13.21/ 8.20.x< 8.20.9/ 8.22.x< 8.22.3/ 9.0.0SQLI (JRASERVER-73885)	Nessus	CGI abuses	2022/6/18	2024/6/5	critical
162398	Atlassian Jira 8.13.x < 8.13.21 / 8.20.x < 8.20.9 / 8.22.x < 8.22.3 / 9.0.0 SQLI (JRASERVER-73885)	Nessus	CGI abuses	2022/6/18	2024/6/5	critical
190670	GLSA-202402-16：Apache Log4j：多个漏洞	Nessus	Gentoo Local Security Checks	2024/2/18	2024/2/18	critical
162398	Atlassian Jira 8.13.x < 8.13.21 / 8.20.x < 8.20.9 / 8.22.x < 8.22.3 / 9.0.0 SQLI (JRASERVER-73885)	Nessus	CGI abuses	2022/6/18	2024/6/5	critical
190670	GLSA-202402-16 : Apache Log4j: Multiple Vulnerabilities	Nessus	Gentoo Local Security Checks	2024/2/18	2024/2/18	critical
190670	GLSA-202402-16：Apache Log4j：多個弱點	Nessus	Gentoo Local Security Checks	2024/2/18	2024/2/18	critical

検出

プラグインの検索

critical

critical

critical

critical

critical

critical

critical