• ひとことでAtlassian Bitbucket で、細工した通信によりコマンドを実行される弱点です。
  • 深刻度8.8 重要CVSS v3.1
  • まずやることBitbucket を修正版以降に更新する

何をすればいいかを詳しく読む

基本情報（データから表示）

CVE番号CVE-2022-36804
製品Atlassian Bitbucket Server and Data Center
深刻度（CVSS）8.8 重要CVSS v3.1
NVD による評価
詳細（ベクター）CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
KEVへの追加日2022-09-30
米国政府機関の対応期限2022-10-21
ランサムウェアでの悪用不明（確認されていない）
弱点の種類（CWE）CWE-78（OSコマンドインジェクション）
CWE-88（引数インジェクション）
CWE-158

何が起きた

ソースコード管理の製品 Atlassian Bitbucket Server and Data Center の複数の API で、送られた内容をそのままコマンドとして実行してしまう弱点（コマンドインジェクション）が見つかりました。公開リポジトリにアクセスできるか、非公開リポジトリの読み取り権限を持つ攻撃者が、細工した HTTP リクエストを送ると、任意の（攻撃者が好きに選べる）コードを実行できます。実際の悪用が確認されています。NVDの評価では、ネットワーク経由で、一般利用者程度の権限を持つ攻撃者が悪用できます。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

攻撃の流れ: 1. 攻撃者がリポジトリの読み取り権限を得る → 2. API に細工した HTTP リクエストを送る → 3. サーバーでコマンドが実行される → 4. 攻撃者が好きなコードを動かす1攻撃者がリポジトリの読み取り権限を得る2API に細工した HTTP リクエストを送る3サーバーでコマンドが実行される4攻撃者が好きなコードを動かす攻撃の流れ: 1. 攻撃者がリポジトリの読み取り権限を得る → 2. API に細工した HTTP リクエストを送る → 3. サーバーでコマンドが実行される → 4. 攻撃者が好きなコードを動かす1攻撃者がリポジトリの読み取り権限を得る2API に細工した HTTP リクエストを送る3サーバーでコマンドが実行される4攻撃者が好きなコードを動かす攻撃の流れ: 1. 攻撃者がリポジトリの読み取り権限を得る → 2. API に細工した HTTP リクエストを送る → 3. サーバーでコマンドが実行される → 4. 攻撃者が好きなコードを動かす1攻撃者がリポジトリの読み取り権限を得る2API に細工した HTTP リクエストを送る3サーバーでコマンドが実行される4攻撃者が好きなコードを動かす

誰が影響を受ける

Atlassian Bitbucket Server and Data Center を自社で運用している組織が対象です。Atlassian の情報では、7.0.0 から 8.3.0 までのすべての版が影響を受けます。

何をすればいい

Atlassian の案内に従い、修正版（7.6.17、7.17.10、7.21.4、8.0.3、8.1.3、8.2.2、8.3.1 のいずれか、またはそれ以降）に更新されているか確認してください。すぐに更新できない場合の一時的な対策として、Atlassian は feature.public.access=false を設定して公開リポジトリを全体で無効にする方法を示しています。ただしアカウントを持つ攻撃者には効かないため、完全な対策ではありません。公式の案内を確認し、更新を優先してください。

やることチェックリスト

  • Bitbucket を修正版以降に更新する
  • 更新できなければ公開リポジトリを無効にする
  • feature.public.access=false を設定する

用語メモ

コマンドインジェクション 用語集で見る
入力に命令を紛れ込ませ、サーバー上で意図しないコマンドを実行させる攻撃です。
API 用語集で見る
プログラム同士がやり取りするための窓口です。
リポジトリ
ソースコードとその変更の記録をまとめて保管する場所です。
HTTP リクエスト 用語集で見る
ブラウザやプログラムが Web サーバーに送る依頼のことです。

次に読む

同じ製品・メーカーの脆弱性Atlassian の複数の製品（CVE-2026-21589）7.5 重要CVSS v3.1Atlassianの複数の製品で、外から特定のファイルを読み取られる弱点です。同じ製品・メーカーの脆弱性Atlassian Jira Server and Data Center（CVE-2021-26086）5.3 警告CVSS v3.1Jira Server と Data Center で、外から特定のファイルを読み取られる弱点です。基本の解説KEV とはCISAが悪用を確認した脆弱性の一覧。載る条件

最新の脆弱性の一覧に戻る ・ これまでの記事をすべて見る

公式情報と元データ

公式情報

元データ（英語・CISA KEV より）を開く

Atlassian Bitbucket Server and Data Center Command Injection Vulnerability

概要

Multiple API endpoints of Atlassian Bitbucket Server and Data Center contain a command injection vulnerability where an attacker with access to a public Bitbucket repository, or with read permissions to a private one, can execute code by sending a malicious HTTP request.

推奨対応

Apply updates per vendor instructions.

この元データの出どころ: CISA KEV カタログで見る