CVEノート

最近の脆弱性 › CVE-2021-26086

Atlassian Jira Server and Data Center のパストラバーサルの脆弱性（CVE-2021-26086）

この解説はAIを使用して作成しています。誤りを含む可能性があり、内容は保証できません。必ず公式情報をご確認ください。

基本情報（データから表示）

CVE番号CVE-2021-26086
製品Atlassian Jira Server and Data Center
深刻度（CVSS）5.3 警告CVSS v3.1
NVD による評価
詳細（ベクター）CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N
KEVへの追加日2024-11-12
米国政府機関の対応期限2024-12-03
ランサムウェアでの悪用不明（確認されていない）
弱点の種類（CWE）CWE-22

何が起きた

Atlassian の Jira Server and Data Center に、パストラバーサルと呼ばれる弱点が見つかりました。/WEB-INF/web.xml に関わる部分を通じて、外部の攻撃者が特定のファイルを読み取れるおそれがあります。ネットワーク経由で、ログインしていない攻撃者が、利用者の操作なしに悪用できるとされています。実際に悪用されたことも確認されています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

攻撃の流れ: 1. 攻撃者が Jira にネットワーク経由で接続する → 2. 細工したパスでリクエストを送る → 3. 本来は見られない特定のファイルを読み取る1攻撃者が Jira にネットワーク経由で接続する2細工したパスでリクエストを送る3本来は見られない特定のファイルを読み取る攻撃の流れ: 1. 攻撃者が Jira にネットワーク経由で接続する → 2. 細工したパスでリクエストを送る → 3. 本来は見られない特定のファイルを読み取る1攻撃者が Jira にネットワーク経由で接続する2細工したパスでリクエストを送る3本来は見られない特定のファイルを読み取る

誰が影響を受ける

Jira Server または Jira Data Center を運用している組織が対象です。影響を受けるのは、8.5.14 より前、8.6.0 以上 8.13.6 より前、8.14.0 以上 8.16.1 より前のバージョンです。

何をすればいい

使っている Jira のバージョンを確認し、Atlassian が示す修正版（8.5.14、8.13.6、8.16.1、8.17.0）以降に更新されているか確かめてください。更新の手順は Atlassian の公式の案内を確認してください。

やることチェックリスト

用語メモ

パストラバーサル
ファイルの場所の指定を細工して、本来は見せない場所のファイルを読み出す攻撃です。
Data Center
Jira などを大きな組織向けに、複数のサーバーで動かせるようにした版です。

元データ（英語・CISA KEV より）

Atlassian Jira Server and Data Center Path Traversal Vulnerability

概要

Atlassian Jira Server and Data Center contain a path traversal vulnerability that allows a remote attacker to read particular files in the /WEB-INF/web.xml endpoint.

推奨対応

Apply mitigations per vendor instructions or discontinue use of the product if mitigations are unavailable.

公式情報