複数の製品向けのセキュリティ勧告 - レンダリングされない Unicode の双方向オーバーライド文字 - CVE-2021-42574

脆弱性の概要

この勧告は、次のような複数の製品バージョンで確認された、高い重要度のセキュリティ脆弱性を開示します。

Bamboo Server および Data Center

• 8.0.4 よりも前のすべてのバージョン

Bitbucket Server および Data Center

• 6.10.14 よりも前のすべてのバージョン

• 7.0.0 と 7.5.2 の間のすべてのバージョン (これらのバージョンを含む)

• 7.6.10 よりも前のすべての 7.6.x LTS バージョン

• 7.7.0 と 7.16.1 の間のすべてのバージョン (これらのバージョンを含む)

• 7.17.1 よりも前のすべての 7.17.x LTS バージョン

Confluence Server および Data Center

• 7.4.13 よりも前のすべてのバージョン

• 7.5.0 と 7.12.5 の間のすべてのバージョン (これらのバージョンを含む)

• 7.13.2 よりも前のすべての 7.13.x LTS バージョン

• バージョン 7.14.0

Crucible

• 4.8.8 よりも前のすべてのバージョン

Fisheye

• 4.8.8 よりも前のすべてのバージョン

Jira Service Management Server および Data Center

• 4.13.13 よりも前のすべてのバージョン

• 4.14.0 と 4.19.1 の間のすべてのバージョン (これらのバージョンを含む)

• 4.20.1 よりも前のすべての 4.20.x LTS バージョン

Insight Asset Management (Jira Service Management の Marketplace アプリ)

• 8.9.4 よりも前のすべてのバージョン

Jira Software Server および Data Center (Jira Core を含む)

• 8.13.13 よりも前のすべてのバージョン

• 8.14.0 と 8.19.1 の間のすべてのバージョン (これらのバージョンを含む)

• 8.20.1 よりも前のすべての 8.20.x LTS バージョン

CVE-2021-42574 - Unicode bidirectional override character trojan source attack

深刻度

アトラシアンはアトラシアンの深刻度レベルで公開されているスケールに従って、この脆弱性の深刻度レベルを高として評価しています。このスケールによって、深刻度を重大、高度、中度、低度として評価できます。

これはアトラシアンの評価であり、お客様自身の IT 環境への適用性を評価する必要があります。

説明

Unicode の双方向オーバーライド文字として知られる特殊文字が一部のアプリケーションでレンダリングあるいは表示されない、複数のアトラシアン製品に影響する脆弱性が特定されました。これらの特殊文字は一般にはブラウザまたはコード エディタで表示されませんが、コンパイラやインタプリタで処理されたときにソース コードの意味合いに影響する可能性があります。

謝辞

この問題は、University of Cambridge の Nicholas Boucher および Ross Anderson によって発見および報告されました。詳細は CVE-2021-42574 で開示されています。

修正

弊社ではこの問題に対応するために次の対応を行いました。

1. この問題の修正を含む、Bamboo Server および Data Center バージョン 8.0.4 のリリース。

2. この問題の修正を含む、Bitbucket Server および Data Center バージョン 6.10.14、7.6.10、7.17.1 のリリース。

3. この問題の修正を含む、Confluence Server および Data Center バージョン 7.4.13、7.13.2、7.14.1 のリリース。

4. この問題の修正を含む、Crucible バージョン 4.8.8 のリリース。

5. この問題の修正を含む、Fisheye バージョン 4.8.8 のリリース。

6. この問題の修正を含む、Insight Asset Management Marketplace アプリ バージョン 8.9.4 のリリース。

7. この問題の修正を含む、Jira Service Management Server および Data Center バージョン 4.13.13、4.20.1 のリリース。

8. この問題の修正を含む、Jira Software Server および Data Center バージョン 8.13.13、8.20.1 のリリース。

必要なアクション

アトラシアンでは、最新バージョンにアップグレードすることをおすすめします。最新バージョンの完全な説明については、対象の製品のリリース ノートをご確認ください。

• Bamboo Server および Data Center のリリース ノート
• Bitbucket Server および Data Center のリリース ノート

• Confluence Server および Data Center のリリース ノート

• Crucible のリリース ノート

• Fisheye のリリース ノート

• Jira Service Management Server および Data Center のリリース ノート

• Jira Software Server および Data Center のリリース ノート

ご利用の製品の最新バージョンはダウンロード センターからダウンロードできます。

• Bamboo Server および Data Center をダウンロード

• Bitbucket Server および Data Center をダウンロード

• Confluence Server および Data Center をダウンロード

• Crucible をダウンロード

• Fisheye をダウンロード

• Insight Asset Management をダウンロード

• Jira Service Management Server および Data Center をダウンロード

• Jira Software Server および Data Center をダウンロード

下記で推奨されるバージョン以降にアップグレードしてください。

問題の軽減策

この修正では、プル リクエスト、コード スニペット、コード ブロックなどの、コードが表示される多数の画面が、Unibode の双方向文字がハイライトされるように更新しています。ユーザーはツールチップを使用して、文字の役割や、実行時のコードの解釈方法を確認できます。

Confluence Data Center のコード ブロックを含むページを表示しているときの、メッセージの例です。

サポート

このセキュリティ勧告のメールを受け取っていないが今後の受信を希望する場合は、https://my.atlassian.com/email にアクセスしてアラート メールに登録してください。

この勧告に関してご質問や懸念事項をお持ちの場合は、CVE-2021-42574 のよくある質問をご確認いただくか、https://support.atlassian.com/ja/ でサポート リクエストを起票してください。

参考