Atlassian Crowd and Crowd Data Center のリモートコード実行の脆弱性（CVE-2019-11580）

何が起きた

Atlassian Crowd と Crowd Data Center で、開発用の pdkinstall というプラグインが、製品版でも誤って有効になっていました。この弱点を使うと、攻撃者は好きなプラグインをインストールでき、遠隔からコードを実行できます。CISA によると実際に悪用されており、ランサムウェア（身代金を要求する攻撃）での悪用も知られています。NVD の評価では、攻撃者はネットワーク経由で、ログインも利用者の操作もなしに悪用できます。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

Crowd と Crowd Data Center の、2.1.0 から 3.0.5 より前、3.1.0 から 3.1.6 より前、3.2.0 から 3.2.8 より前、3.3.0 から 3.3.5 より前、3.4.0 から 3.4.4 より前を使っている組織が影響を受けます。3.0.5、3.1.6、3.2.8、3.3.5、3.4.4 に更新済みであれば影響を受けません。

何をすればいい

Crowd を、使っている系列の修正版（3.0.5、3.1.6、3.2.8、3.3.5、3.4.4）以降に更新されているか確認してください。Atlassian は、3.3.0 より前を使っている場合は 3.2.8 へ、3.3.0 以降の場合は最新版への更新を勧めています。すぐに更新できない場合は、Crowd を止めて pdkinstall-plugin の jar ファイルを削除する回避策が示されています。公式の案内を確認し、古いバージョンが使われていないか確認することも大切です。

やることチェックリスト

• Crowd を系列ごとの修正版以降に更新する
• 更新できない間は pdkinstall-plugin を削除する
• 削除後に jar ファイルが残っていないか調べる

用語メモ

プラグイン

ソフトに後から機能を付け足すための小さなプログラムです。

jar ファイル

Java で作られたプログラムを一つにまとめたファイルです。

ランサムウェア

データを使えなくして、元に戻す代わりにお金を要求する悪質なプログラムです。