- ひとことでJira Server と Data Center で、外から特定のファイルを読み取られる弱点です。
- 深刻度5.3 警告CVSS v3.1
- まずやることJira のバージョンを確認する
基本情報（データから表示）
| CVE番号 | CVE-2021-26086 |
|---|---|
| 製品 | Atlassian Jira Server and Data Center |
| 深刻度（CVSS） | 5.3 警告CVSS v3.1 NVD による評価 詳細（ベクター）CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N |
| KEVへの追加日 | 2024-11-12 |
| 米国政府機関の対応期限 | 2024-12-03 |
| ランサムウェアでの悪用 | 不明（確認されていない） |
| 弱点の種類（CWE） | CWE-22（パストラバーサル） |
何が起きた
Atlassian の Jira Server and Data Center に、パストラバーサルと呼ばれる弱点が見つかりました。/WEB-INF/web.xml に関わる部分を通じて、外部の攻撃者が特定のファイルを読み取れるおそれがあります。ネットワーク経由で、ログインしていない攻撃者が、利用者の操作なしに悪用できるとされています。実際に悪用されたことも確認されています。
攻撃の流れ
データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。
誰が影響を受ける
Jira Server または Jira Data Center を運用している組織が対象です。影響を受けるのは、8.5.14 より前、8.6.0 以上 8.13.6 より前、8.14.0 以上 8.16.1 より前のバージョンです。
何をすればいい
使っている Jira のバージョンを確認し、Atlassian が示す修正版（8.5.14、8.13.6、8.16.1、8.17.0）以降に更新されているか確かめてください。更新の手順は Atlassian の公式の案内を確認してください。
やることチェックリスト
- Jira のバージョンを確認する
- 8.5.14、8.13.6、8.16.1 以降に更新する
- Server と Data Center の両方を確認する
用語メモ
- パストラバーサル 用語集で見る
- ファイルの場所の指定を細工して、本来は見せない場所のファイルを読み出す攻撃です。
- Data Center
- Jira などを大きな組織向けに、複数のサーバーで動かせるようにした版です。
次に読む
公式情報と元データ
公式情報
元データ（英語・CISA KEV より）を開く
Atlassian Jira Server and Data Center Path Traversal Vulnerability
概要
Atlassian Jira Server and Data Center contain a path traversal vulnerability that allows a remote attacker to read particular files in the /WEB-INF/web.xml endpoint.
推奨対応
Apply mitigations per vendor instructions or discontinue use of the product if mitigations are unavailable.
この元データの出どころ: CISA KEV カタログで見る