クラウド
Data Center 9.15
バージョン

Jira セキュリティ勧告 2019-09-18

セキュリティの概要および勧告

このページの内容

関連コンテンツ

  • 関連コンテンツがありません

お困りですか?

アトラシアン コミュニティをご利用ください。

コミュニティに質問

Jira Server - Jira Importers プラグインのテンプレート インジェクション - CVE-2019-15001

要約

CVE-2019-15001 - Jira Importers プラグインのテンプレート インジェクション 

勧告のリリース日

 10:00 AM PDT (太平洋標準時、ｰ7 時間)

製品

Jira Server および Jira Data Center

注: Jira Software、Jira Core、Jira Service Desk を含みます。

Jira Cloud のお客様は影響を受けません。

リストにあるバージョンは、Jira Core と Jira Software です。互換性マトリクスでお使いの Jira Service Desk バージョンに対応するバージョンをご確認ください。

影響を受ける Jira Server および Jira Data Center のバージョン

  • 7.0.10 から
  • 7.1.x
  • 7.2.x
  • 7.3.x
  • 7.4.x
  • 7.5.x
  • 7.6.x before 7.6.16 (the fixed version for 7.6.x)
  • 7.7.x
  • 7.8.x
  • 7.9.x
  • 7.10.x
  • 7.11.x
  • 7.12.x
  • 7.13.x (7.13.8 の前まで) (7.13.x の修正バージョン)
  • 8.0.x 
  • 8.1.x before 8.1.3 (the fixed version for 8.1.x)
  • 8.2.x before 8.2.5 (the fixed version for 8.2.x)
  • 8.3.x (8.3.4 の前まで) (8.3.x の修正バージョン)
  • 8.4.0 
    ここをクリックして展開...
    • 7.0.10、7.0.11
    • 7.1.0、7.1.1、7.1.2、7.1.3、7.1.4、7.1.5、7.1.6、7.1.7、7.1.8、7.1.9、7.1.10
    • 7.2.0、7.2.1、7.2.2、7.2.3、7.2.4、7.2.5、7.2.6、7.2.7、7.2.8、7.2.9、7.2.10、7.2.11、7.2.12、7.2.13、7.2.14、7.2.15
    • 7.3.0、7.3.1、7.3.2、7.3.3、7.3.4、7.3.5、7.3.6、7.3.7、7.3.8、7.3.9
    • 7.4.0、7.4.1、7.4.2、7.4.3、7.4.4、7.4.5、7.4.6
    • 7.5.0、7.5.1、7.5.2、7.5.3、7.5.4
    • 7.6.0、7.6.1、7.6.2、7.6.3、7.6.4、7.6.5、7.6.6、7.6.7、7.6.8、7.6.9、7.6.10、7.6.11、7.6.12、7.6.13、7.6.14、7.6.15
    • 7.7.0、7.7.1、7.7.2、7.7.3、7.7.4
    • 7.8.0、7.8.1、7.8.2、7.8.3、7.8.4
    • 7.9.0, 7.9.1, 7.9.2
    • 7.10.0, 7.10.1, 7.10.2
    • 7.11.0, 7.11.1, 7.11.2
    • 7.12.0、7.12.1、7.12.2、7.12.3
    • 7.13.0、7.13.1、7.13.2、7.13.3、7.13.4、7.13.5、7.13.6、7.13.7
    • 8.0.0、8.0.1、8.0.2、8.0.3
    • 8.1.0, 8.1.1, 8.1.2
    • 8.2.0、8.2.1、8.2.2、8.2.3、8.2.4
    • 8.3.0、8.3.1、8.3.2、8.3.3
    • 8.4.0

修正された Jira Server および Jira Data Center のバージョン

  • 7.6.16
  • 7.13.8
  • 8.1.3
  • 8.2.5
  • 8.3.4
  • 8.4.1
CVE IDCVE-2019-15001


脆弱性の概要

このアドバイザリーは、Jira Server & Jira Data Center のバージョン 7.0.10 で発生した重大なセキュリティの脆弱性を開示します。この脆弱性の影響を受ける Jira Server および Jira Data Center のバージョン:

  • 7.0.10 以降 7.6.16 より前 (7.6.16 で修正済み)
  • from 7.7.0 before 7.13.8 (fixed in 7.13.8)
  • from 8.0.0 before 8.1.3 (fixed in 8.1.3)
  • from 8.2.0 before 8.2.5 (fixed in 8.2.5)
  • from 8.3.0 before 8.3.4 (fixed in 8.3.4) 
  • from 8.4.0 before 8.4.1 (fixed in 8.4.1)

Atlassian Cloud インスタンスは、このページに記載されている問題を含まない Jira のバージョンにすでにアップグレードされています。

Jira Server および Jira Data Center をバージョン 7.13.8、8.1.3、8.2.5、8.3.4、8.4.1 以降にアップグレードした顧客は、影響を受けません。

上の影響を受けるバージョンのリストのいずれかを使用している顧客は、Jira Server および Jira Data Center を直ちにアップグレードして、この脆弱性を修正してください。


Jira Importers プラグインのテンプレート インジェクション

深刻度

アトラシアンはアトラシアンの深刻度レベルで公開されているスケールに従って、この脆弱性の深刻度レベルを重大として評価しています。このスケールによって、深刻度を重大、高度、中度、低度として評価できます。

これはアトラシアンの評価であり、お客様自身の IT 環境への適用性を評価する必要があります。


説明

Jira Server と Data Center の Jira Importers プラグイン (JIM) に、サーバー側のテンプレート インジェクションの脆弱性がありました。「Jira 管理者」アクセスを持つ攻撃者は、この問題を悪用できます。この問題が悪用されると、攻撃者はシステムでコードをリモートで実行し、脆弱なバージョンの Jira Server または Data Center を実行します。 


Jira Server および Jira Data Center の 7.0.10 以降7.6.16 の前まで、7.7.0 以降 7.13.8 の前まで (7.13.x の修正バージョン)、8.1.0 以降 8.1.3 の前まで (8.1.x の修正バージョン)、8.2.0 以降 8.2.5 の前まで (8.2.x の修正バージョン)、8.3.0 以降 8.3.4 の前まで (8.3.x の修正バージョン)、8.4.0 以降 8.4.1 の前まで (8.4.x の修正バージョン) が、この脆弱性の影響を受けます。 

この課題は、こちらから追跡できます。 JRASERVER-69933 - 問題の詳細を取得中... ステータス

謝辞

この脆弱性を発見した Daniil Dmitriev 氏に感謝いたします。

修正

この問題に対処するため、Jira Server および Jira Data Center の以下のバージョンをリリースしました。

  1. 8.4.1 which is available for download from https://www.atlassian.com/software/jira/core/download
  2. 8.3.4 which is available for download from https://www.atlassian.com/software/jira/core/update
  3. 8.2.5 which is available for download from https://www.atlassian.com/software/jira/core/update
  4. 8.1.3 which is available for download from https://www.atlassian.com/software/jira/core/update
  5. 7.13.8 which is available for download from https://www.atlassian.com/software/jira/core/update
  6. 7.6.16 which is available for download from https://www.atlassian.com/software/jira/core/update


この問題に対処するため、Jira Software Server の以下のバージョンをリリースしました。

  1. 8.4.1 which is available for download from https://www.atlassian.com/software/jira/download
  2. 8.3.4 which is available for download from https://www.atlassian.com/software/jira/update
  3. 8.2.5 which is available for download from https://www.atlassian.com/software/jira/update
  4. 8.1.3 which is available for download from https://www.atlassian.com/software/jira/update
  5. 7.13.8 which is available for download from https://www.atlassian.com/software/jira/update
  6. 7.6.16 which is available for download from https://www.atlassian.com/software/jira/update

必要なアクション

問題の軽減策

Jira をすぐにアップグレードできない場合、または Jira Cloud に移行中である場合は、一時的な回避策として、次のエンドポイントへの PUT 要求をブロックできます。

  • /rest/jira-importers-plugin/1.0/demo/create

次の事例つきのナレッジ ベース記事でこの実行方法を確認し、回避策を 1 つ選択してください。

Jira を修正バージョンにアップグレードした後、エンドポイントのブロックを解除できます。 

Jira Importers Plugin は無効にしないでください。


JIRA のアップグレード

最新バージョンにアップグレードすることをお勧めします。Jira Server および Jira Data Center の最新バージョンの詳細一覧については、リリース ノートをご覧ください。Jira Server および Jira Data Center の最新バージョンは、ダウンロード センターからダウンロードできます。

Jira Server および Jira Data Center を、バージョン 8.4.1 以上にアップグレードしてください。

最新バージョン (8.4.1) にアップグレードできない場合は、以下を実行してください。

(1) 現行のフィーチャー バージョン (2018 年 12 月 10 日以降にリリースされたフィーチャー バージョン) を使用している場合は、現在のフィーチャー バージョンの次に出されたバグ修正バージョンにアップグレードします。

If you have feature version…

…then upgrade to this bugfix version:

8.0.x8.1.3
8.1.x8.1.3
8.2.x8.2.5
8.3.x8.3.4
8.4.x8.4.1


(2) 現行のエンタープライズ リリース バージョン (2017 年 7 月 10 日以降にリリースされたエンタープライズ バージョン) を使用している場合は、最新のエンタープライズ リリース バージョン (7.13.8) にアップグレードします。


使用しているエンタープライズ リリース バージョン…

…then upgrade to this version:

7.6.x

7.6.16、7.13.8 (推奨)

7.13.x

7.13.8


(3) 古いバージョン (2018 年 12 月 10 日以前にリリースされたフィーチャー バージョンまたは 2017 年 7 月 10 日以前にリリースされたエンタープライズ リリース バージョン) を使用している場合は、最新バージョンまたは最新のエンタープライズ リリース バージョン (7.13.8)にアップグレードします。


使用中の古いバージョン…

…then upgrade to any of these versions:

7.0.x

7.1.x

7.2.x

7.3.x

7.4.x

7.5.x

7.7.x

7.8.x

7.9.x

7.10.x

7.11.x

7.12.x

現行バージョン

8.1.3

8.2.5

8.3.4

8.4.1

エンタープライズ リリース

7.6.16

7.13.8

サポート

このアドバイザリのメールを受信していないため今後の受信を希望する場合は、https://my.atlassian.com/email にアクセスしてアラート メールにご登録ください。

この勧告に関してご質問や懸念がある場合は、https://support.atlassian.com/ja/ でサポート リクエストを作成してください。

参考

セキュリティ バグの修正ポリシー

アトラシアンの新しいポリシーに記載のとおり、重大なセキュリティ バグ修正は、https://www.atlassian.com/trust/security/bug-fix-policy に応じてバックポートされます。新しいポリシーの対象バージョンについては、バイナリ パッチではなく新しいメンテナンス リリースが提供されます。

バイナリ パッチのリリースは終了しています。 

セキュリティの問題の重大度レベルアトラシアンのセキュリティ勧告には重大度レベルと CVE ID が含まれます。重大度レベルは、それぞれの脆弱性についてアトラシアンが独自に計算した CVSS スコアに基づきます。CVSS は業界標準の脆弱性メトリックです。CVSS の詳細を FIRST.org でご確認ください。
サポート終了ポリシー サポート終了ポリシーは、製品によって異なります。詳細は、アトラシアンの「製品終了ポリシー」を参照してください。 
Last modified on Mar 3, 2021

この内容はお役に立ちましたか?

はい
いいえ
この記事についてのフィードバックを送信する

関連コンテンツ

  • 関連コンテンツがありません
Powered by Confluence and Scroll Viewport.