複数の製品向けのセキュリティ勧告 - CVE-2022-26136、CVE-2022-26137
要約 | 複数の製品におけるサーブレット フィルターのディスパッチャーの脆弱性 |
|---|---|
勧告のリリース日 | 午前 10:00 PDT (太平洋標準時、-7 時間) |
影響を受ける製品 |
Atlassian Cloud のサイトは影響を受けません。 Atlassian Cloud サイトへの修正のデプロイは完了しています。ご利用のアトラシアン サイトが bitbucket.org または atlassian.net ドメイン経由でアクセスしているものの場合、それは Atlassian Cloud サイトです。 |
CVE ID |
脆弱性の概要
サーブレット フィルターの概要
サーブレット フィルターとは、クライアント リクエストがバックエンドのリソースに送信される前に HTTP リクエストの取得や処理を行う Java コードです。これらは、バックエンドからの HTTP レスポンスがクライアントに送信される前に HTTP リクエストの取得や処理を行うためにも利用されます。一部のサーブレット フィルターは、ログ、監査、認証、認可などのセキュリティ メカニズムを提供します。
任意のサーブレット フィルターのバイパス (CVE-2022-26136)
A vulnerability in multiple Atlassian products allows a remote, unauthenticated attacker to bypass Servlet Filters used by first and third party apps. The impact depends on which filters are used by each app, and how the filters are used. Atlassian has not exhaustively enumerated all potential consequences of this vulnerability, and has only confirmed the attacks listed below. Please note that Atlassian has released updates that fix the root cause for all products affected by this vulnerability, including any first or third party apps installed on each product.
認証のバイパス。特別な方法で作成された HTTP リクエストを送信することで、サードパーティ製アプリで認証を強制するために利用されるカスタムのサーブレット フィルターをバイパスできます。未認証のリモートの攻撃者がこれを利用してサードパーティ製アプリで利用される認証をバイパスすることができます。なお、アトラシアンではこの攻撃が可能であることを確認してはいますが、影響を受けるすべてのアプリの一覧を決定したわけではありません。
クロスサイト スクリプティング (XSS)。特別な方法で作成された HTTP リクエストを送信することで、アトラシアン ガジェットの正当性を検証するために利用されるサーブレット フィルターをバイパスし、結果的にクロスサイト スクリプティング (XSS) を行うことができます。攻撃者はユーザーに悪意のある URL のリクエストを促し、それによってユーザーのブラウザで任意の Javascript を利用することができます。
追加のサーブレット フィルターの呼び出し (CVE-2022-26137)
複数のアトラシアン製品に存在する脆弱性により、アプリケーションでリクエストやレスポンスが処理される際に、未認証のリモートの攻撃者が追加のサーブレット フィルターを呼び出すようにすることができます。アトラシアンはこの脆弱性に関連して、現在確認されている唯一のセキュリティ問題である次の問題を確認および修正しています。
オリジン間リソース共有 (CORS) のバイパス。特別な方法で作成された HTTP リクエストを送信することで、CORS リクエストへの応答に利用されるサーブレット フィルターを呼び出し、結果的に CORS バイパスを行うことができます。攻撃者はユーザーに悪意のある URL のリクエストを促し、脆弱性を持つアプリケーションにユーザーの権限を利用してアクセスできます。
深刻度
アトラシアンはアトラシアンの深刻度レベルで公開されているスケールに従って、この脆弱性の深刻度レベルを重大として評価しています。このスケールによって、深刻度を重大、高度、中度、低度として評価できます。
これはアトラシアンの評価であり、お客様自身の IT 環境への適用性を評価する必要があります。
影響を受けるバージョン
製品 | 影響を受けるバージョン |
|---|---|
Bamboo Server および Data Center |
|
Bitbucket Server および Data Center |
|
Confluence Server および Data Center |
|
Crowd Server および Data Center |
|
Crucible |
|
Fisheye |
|
Jira Server および Data Center |
|
Jira Service Management Server および Data Center |
|
7.2.9 is not affected, but it contains an unrelated non-security bug. Refer to the fixed versions section below for more information.修正済みバージョン
製品 | 修正済みバージョン |
|---|---|
Bamboo Server および Data Center |
|
Bitbucket Server および Data Center | |
Confluence Server および Data Center | |
Crowd Server および Data Center |
|
Crucible |
|
Fisheye |
|
Jira Server および Data Center |
|
Jira Service Management Server および Data Center |
リリース ノート
アトラシアンでは、最新バージョンにアップグレードすることをおすすめします。最新バージョンの完全な説明については、対象の製品のリリース ノートをご確認ください。
ダウンロード
回避策
既知の回避策はありません。この脆弱性を修正するには、影響を受ける個々の製品インストールを上記の修正済みバージョンに更新してください。
謝辞
この脆弱性を発見および報告した Viettel Cyber Security の Khoadha に感謝します。
よくある質問
よくある質問については、CVE-2022-26136/CVE-2022-26137 の FAQ を更新します。
関連チケット
- BAM-21795 - Getting issue details... STATUS
- BSERV-13370 - Getting issue details... STATUS
- CONFSERVER-79476 - 課題詳細を取得中... ステータス
- CWD-5815 - Getting issue details... STATUS
- FE-7410 - 課題詳細を取得中... ステータス
- CRUC-8541 - Getting issue details... STATUS
- JRASERVER-73897 - 課題詳細を取得中... ステータス
- JSDSERVER-11863 - 課題情報を取得中... ステータス
サポート
このセキュリティ勧告のメールを受け取っていないが今後の受信を希望する場合は、https://my.atlassian.com/email にアクセスしてアラート メールに登録してください。
この勧告に関してご質問や懸念がある場合は、https://support.atlassian.com/ja/ でサポート リクエストを作成してください。
参考
アトラシアンの新しいポリシーに記載のとおり、高度なセキュリティ バグ修正は、https://www.atlassian.com/trust/security/bug-fix-policy に応じてバックポートされます。新しいポリシーの対象バージョンについては、バイナリ パッチではなく新しいメンテナンス リリースが提供されます。 バイナリ パッチのリリースは終了しています。 | |
アトラシアンのセキュリティ勧告には重大度レベルと CVE ID が含まれます。重大度レベルは、それぞれの脆弱性についてアトラシアンが独自に計算した CVSS スコアに基づきます。CVSS は業界標準の脆弱性メトリックです。CVSS の詳細を FIRST.org でご確認ください。 | |
サポート終了ポリシーは、製品によって異なります。詳細は、アトラシアンの「製品終了ポリシー」を参照してください。 |