CVE-2022-1471 - SnakeYAMLライブラリ RCE の脆弱性が複数の製品に影響
| 要約 | CVE-2022-1471 - SnakeYAMLライブラリ RCE の脆弱性が複数の製品に影響 |
| 勧告のリリース日 | 2023 年 12 月 05 日 (火) 21:00 PST |
| 製品 |
|
| CVE ID | CVE-2022-1471 |
脆弱性の概要
複数の Atlassian Data Center および Server 製品が Java 用の SnakeYAML ライブラリを使用しています。これは、RCE (リモート コード実行) を引き起こす可能性のある逆シリアル化の欠陥の影響を受けやすくします。
深刻度
アトラシアンはこの脆弱性の深刻度レベルを社内の評価にしたがって「クリティカル (critical)」と評価しています (9.8 と次のベクトル CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:)。これはアトラシアンの評価であり、お客様自身で自社の IT 環境への適用性を評価する必要があります。
影響を受けるバージョン
このRCE (リモートコード実行) の脆弱性は、下表に記載されているすべてのバージョンに影響します。
アトラシアンは、最新バージョンまたは修正 LTS バージョンへのパッチを推奨しています。
| 製品 | 影響を受けるバージョン |
|---|---|
Automation for Jira (A4J) Marketplace App Automation for Jira (A4J) - Server Lite Marketplace App |
|
| Bitbucket Data Center および Server |
|
| Confluence Data Center および Server |
|
| Confluence Cloud Migration App (CCMA) |
|
Jira Core Data Center および Server Jira Software Data Center および Server |
|
| Jira Service Management Data Center および Server |
|
必要なアクション
アトラシアンは、影響を受ける各製品のインストールを最新バージョンまたは以下にリストアップされている修正バージョンのいずれかにパッチすることを推奨します。
| 製品 | 操作 |
|---|---|
Automation for Jira (A4J) Marketplace App Automation for Jira (A4J) - Server Lite Marketplace App | 以下の修正バージョン以降のバージョンにパッチ
軽減策 Universal Plugin Manager (UPM) 経由でアップグレードする
詳細は、A4J 9.0+ の重大な変更を参照してください。
|
| Bitbucket Data Center および Server | 以下の修正バージョン以降のバージョンにパッチ
軽減策 この脆弱性の軽減方法方法はありません。すぐにアップグレードしてください。 |
| Confluence Data Center および Server | 以下の修正バージョン以降のバージョンにパッチ
以下のバージョンで修正済み 修正は 7.13.18、7.19.10、および 8.3.1 に含まれています。ただし、これらのバージョンには、以前に公開したセキュリティの脆弱性も含まれています。 軽減策 この脆弱性の軽減方法方法はありません。すぐにアップグレードしてください。 |
| Confluence Cloud Migration App (CCMA) | 以下の修正バージョン以降のバージョンにパッチ
軽減策 この脆弱性の軽減方法方法はありません。すぐにアップグレードしてください。 |
Jira Core Data Center and Server Jira Software Data Center および Server | 以下の修正バージョン以降のバージョンにパッチ
軽減策 製品インスタンスを修正バージョンにアップグレードできない場合は、Universal Plugin Manager (UPM) を介して、Automation for Jira (A4J) アプリを修正バージョンにアップグレードすることで、この脆弱性を完全に軽減することができます。
詳細は、A4J 9.0 の重大な変更を参照してください (Jira 9.11+ にもバンドル)。
|
Jira Service Management Data Center および Server | 以下の修正バージョン以降のバージョンにパッチ
Jira を修正バージョンにアップグレードすることも必要です。 軽減策 製品インスタンスを修正バージョンにアップグレードできない場合は、Universal Plugin Manager (UPM) を介して、Automation for Jira (A4J) アプリを修正バージョンにアップグレードすることで、この脆弱性を完全に軽減することができます。
詳細は、A4J 9.0 の重大な変更を参照してください (JSM 5.11+ にもバンドル)。
|
最新バージョンの完全な説明については、対象の製品のリリース ノートをご確認ください。
- Automation for Jira (A4J) Marketplace App
- Bitbucket Data Center および Server
- Confluence Data Center および Server
- Confluence Cloud Migration App (CCMA)
- Jira Core Data Center および Server
- Jira Service Management Data Center および Server
- Jira Software Data Center および Server
ご利用の製品の最新バージョンはダウンロード センターからダウンロードできます。
- Automation for Jira (A4J) Marketplace App (Jira/JSW 9+ & JSM 5+ upgrade via Universal Plugin Manager (UPM))
- Bitbucket Data Center および Server
- Confluence Data Center および Server
- Confluence Cloud Migration App (CCMA)
- Jira Core Data Center および Server
- Jira Service Management Data Center および Server
- Jira Software Data Center および Server
関連チケット
よくある質問
More details can be found on the Frequently Asked Questions (FAQ) page.
サポート
このセキュリティ勧告のメールを受け取っていないが今後このようなメールの受信を希望する場合は、https://my.atlassian.com/email にアクセスしてテクニカル アラート メールにご登録ください。この勧告に関してご質問や懸念がある場合は、https://support.atlassian.com/ja/contact/#/ からサポート リクエストを起票ください。
参考
| セキュリティ バグ修正ポリシー | Atlassian の新しいポリシーに記載のとおり、重大なセキュリティ バグ修正は、https://www.atlassian.com/trust/security/bug-fix-policy に応じてバックポートされます。バイナリーパッチではなく、ポリシーの対象となるバージョンの新しいメンテナンス リリースをリリースします。バイナリー パッチのリリースは終了しています。 |
| セキュリティ問題の深刻度 | アトラシアンのセキュリティ勧告には深刻度レベルと CVE ID が含まれます。深刻度レベルは、それぞれの脆弱性についてアトラシアンが独自に計算した CVSS スコアに基づきます。CVSS は業界標準の脆弱性メトリックです。CVSS の詳細は FIRST.org でご確認ください。 |
| サポート終了ポリシー | サポート終了ポリシーは、製品によって異なります。詳細は、アトラシアンの「製品終了ポリシー」を参照してください。 |