Atlassian Jira Server and Data Center の脆弱性（CVE-2019-11581）

何が起きた

Atlassian の Jira Server と Data Center で、管理者への問い合わせ（ContactAdministrators）と一括メール送信（SendBulkMail）の機能に、テンプレートの処理を悪用される弱点（サーバー側テンプレートインジェクション）が見つかり、実際に悪用が確認されています。悪用されると、遠隔から任意のコードを実行されるおそれがあります。Atlassian によると、メールの送信用サーバー（SMTP サーバー）が設定されていて、管理者への問い合わせフォームが有効なら、ログインしていない攻撃者でも悪用できます。問い合わせフォームが無効でも、JIRA Administrators の権限を持つ攻撃者なら悪用できます。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

Jira Server と Data Center の、4.4.0 から 7.6.14 より前、7.7.0 から 7.13.5 より前、8.0.0 から 8.0.3 より前、8.1.0 から 8.1.2 より前、8.2.0 から 8.2.3 より前を使っている組織が影響を受けます。

何をすればいい

Jira を 7.6.14、7.13.5、8.0.3、8.1.2、8.2.3 のうち、使っている系統の修正版以降に更新されているか確認してください。Atlassian は 8.2.4 以降への更新を勧めています。すぐに更新できない場合の一時的な回避策として、Atlassian は、管理者への問い合わせフォームを無効にして /secure/ContactAdministrators への接続を止めることと、SendBulkMail の入口（/secure/admin/SendBulkMail!default.jspa など）への接続を止めることを案内しています。

やることチェックリスト

• Jiraを8.2.3など系統の修正版に更新する
• 更新できなければ問い合わせフォームを無効化する
• SendBulkMailの入口への接続を止める

用語メモ

テンプレートインジェクション

画面やメールのひな形（テンプレート）に命令を紛れ込ませ、サーバーに実行させる攻撃のことです。

SMTP サーバー

メールを送るためのサーバーのことです。