Atlassian Bitbucket Server and Data Center のコマンドインジェクションの脆弱性（CVE-2022-36804）

何が起きた

ソースコード管理の製品 Atlassian Bitbucket Server and Data Center の複数の API で、送られた内容をそのままコマンドとして実行してしまう弱点（コマンドインジェクション）が見つかりました。公開リポジトリにアクセスできるか、非公開リポジトリの読み取り権限を持つ攻撃者が、細工した HTTP リクエストを送ると、任意の（攻撃者が好きに選べる）コードを実行できます。実際の悪用が確認されています。NVDの評価では、ネットワーク経由で、一般利用者程度の権限を持つ攻撃者が悪用できます。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

Atlassian Bitbucket Server and Data Center を自社で運用している組織が対象です。Atlassian の情報では、7.0.0 から 8.3.0 までのすべての版が影響を受けます。

何をすればいい

Atlassian の案内に従い、修正版（7.6.17、7.17.10、7.21.4、8.0.3、8.1.3、8.2.2、8.3.1 のいずれか、またはそれ以降）に更新されているか確認してください。すぐに更新できない場合の一時的な対策として、Atlassian は feature.public.access=false を設定して公開リポジトリを全体で無効にする方法を示しています。ただしアカウントを持つ攻撃者には効かないため、完全な対策ではありません。公式の案内を確認し、更新を優先してください。

やることチェックリスト

• Bitbucket を修正版以降に更新する
• 更新できなければ公開リポジトリを無効にする
• feature.public.access=false を設定する

用語メモ

コマンドインジェクション

入力に命令を紛れ込ませ、サーバー上で意図しないコマンドを実行させる攻撃です。

API

プログラム同士がやり取りするための窓口です。

リポジトリ

ソースコードとその変更の記録をまとめて保管する場所です。

HTTP リクエスト

ブラウザやプログラムが Web サーバーに送る依頼のことです。