Crowd Server and Crowd Data Center Security Advisory 2019-05-22 (日本語訳)

Owned by Hanayo Minamisawa [Ricksoft]
Last updated: 2022/01/29


  • バージョン 3.0.5 3.1.6 3.2.8 3.3.5 3.4.4 へアップグレードした Crowd Server や Data Center の場合は影響をうけません。


Atlassian社のセキュリティアドバイザリ

Crowd Security Advisory 2019-05-22 : Crowd: pdkinstall development plugin incorrectly enabled (CVE-2019-11580)

詳細情報

注意

2014年9月以降、バグフィックス用のパッチは発行されていません。代わりに、バグフィックスを含む新しいバージョンをリリースします。


Summary

  • CVE-2019-11580 pdkinstall development plugin incorrectly enabled

Advisory Release Date

10:00 AM PDT (Pacific Time, -7 hours)

Products
  • Crowd Server
  • Crowd Data Center
Affected Versions
  • 3.0.5 より前の2.x.x、3.0.xすべて
  • 3.1.6 より前の3.1.xすべて
  • 3.2.8 より前の3.2.xすべて
  • 3.3.5 より前の3.3.xすべて

  • 3.4.4 より前の3.4.xすべて

Fixed Versions
  • 3.0.5
  • 3.1.6
  • 3.2.8
  • 3.3.5
  • 3.4.4
CVE ID(s)
  • CVE-2019-11580

脆弱性の概要

このアドバイザリでは、 Crowd Server と Crowd Data Centerに含まれる重大な脆弱性について説明します。

ver.2.1.0から2.12.1および3.0.0から3.0.3 (ver.3.0.xの修正バージョン)より前 、ver.3.1.0から 3.1.5(ver.3.1.xの修正バージョン)より前、ver.3.2.0から 3.2.8(ver.3.2.xの修正バージョン)より前、ver.3.3.0から 3.3.4(ver.3.3.xの修正バージョン)より前、ver.3.4.0から 3.4.3(ver.3.4.xの修正バージョン)より前のバージョンのCrowd Server と Crowd Data Center が影響を受けます。

以下のCrowd Server やData Centerバージョンをダウンロードしてインストールしているお客様は影響を受けます：

  • 3.0.5 より前の2.x.x、3.0.xすべて
  • 3.1.6 より前の3.1.xすべて
  • 3.2.8 より前の3.2.xすべて
  • 3.3.5 より前の3.3.xすべて

  • 3.4.4 より前の3.4.xすべて

脆弱性を修正するために、ただちにCrowd Server やData Centerをアップグレードしてください。

pdkinstall development plugin incorrectly enabled (CVE-2019-11580)について

重大度

Atlassianでは、この脆弱性を Severity Levels for Security Issues におけるクリティカル（critical）と評価しています。この評価は、critical, high, moderate、lowの段階でランク付けします。
これはAtlassian社の評価であり、実際の影響はお客さまの環境において調査しなければなりません。

説明

Crowd Server と Crowd Data Center で pdkinstall 開発用プラグインがリリースの段階で誤って有効になっていました。認証がされていない、または認証されているリクエストを送信することができる攻撃者は、 脆弱性のあるバージョンのCrowd Serverや Data Center のインスタンスに、この脆弱性を悪用して任意のプラグインをインストールすることができ、任意のコードを実行することが可能です。

ver.2.1.0から2.12.1および3.0.0から3.0.5 (ver.3.0.xの修正バージョン)より前 、ver.3.1.0から 3.1.6(ver.3.1.xの修正バージョン)より前、ver.3.2.0から 3.2.8(ver.3.2.xの修正バージョン)より前、ver.3.3.0から 3.3.5 (ver.3.3.xの修正バージョン)より前、ver.3.4.0から 3.4.4(ver.3.4.xの修正バージョン)より前のバージョンのCrowd Server と Crowd Data Center が影響を受けます。

この問題はこの課題で追跡できます。： https://jira.atlassian.com/browse/CWD-5388　CLOSEDCLOSED

修正

Atlassian社はこの問題に対処するため以下の対策を施しました。

あなたにしてほしいこと

Atlassianは、Crowd最新版 (3.4.4)へアップグレードを推奨します。Crowd Serverの最新バージョンの詳細の説明については、リリースノート をご確認ください。Crowd Serverの最新バージョンは、AtlassianのWebサイト からダウンロードできます。

最新バージョン(3.4.4)へアップグレードできない場合は:

 次の バグフィックスバージョンへアップグレードしてください。

以下のを利用している場合は...

…以下のバグフィックスバージョンへアップグレードする：

2.1.0, 2.1.1, 2.1.2, 2.2.0, 2.2.1, 2.2.2, 2.2.3, 2.2.4, 2.2.5, 2.2.6, 2.2.7, 2.2.8, 2.2.9, 2.3.0, 2.3.1, 2.3.2, 2.3.3, 2.3.4, 2.3.5, 2.3.6, 2.3.7, 2.3.8, 2.3.9, 2.3.10, 2.4.0, 2.4.1, 2.4.2, 2.4.3, 2.4.4, 2.4.5, 2.4.6, 2.4.7, 2.4.8, 2.4.9, 2.4.10, 2.4.11, 2.5.0, 2.5.1, 2.5.2, 2.5.3, 2.5.4, 2.5.5, 2.5.6, 2.5.7, 2.6.0, 2.6.1, 2.6.2, 2.6.3, 2.6.4, 2.6.5, 2.6.6, 2.6.7, 2.7.0, 2.7.1, 2.7.2, 2.8.0, 2.8.1, 2.8.2, 2.8.3, 2.8.4, 2.8.6, 2.8.7, 2.8.8, 2.9.1, 2.9.2, 2.9.3, 2.9.4, 2.9.5, 2.9.6, 2.9.7, 2.10.1, 2.10.2, 2.10.3, 2.10.4, 2.11.0, 2.11.1, 2.11.2, 2.12.0, 2.12.1, 3.0.0, 3.0.1, 3.0.2, 3.0.3, 3.0.4

3.0.5

3.1.0, 3.1.1, 3.1.2, 3.1.3, 3.1.4, 3.1.53.1.6
3.2.0, 3.2.1, 3.2.2, 3.2.3, 3.2.4, 3.2.5, 3.2.6, 3.2.73.2.8

3.3.0, 3.3.1, 3.3.2, 3.3.3, 3.3.4

3.3.5


緩和策

近々にアップグレードいただけない場合は、一時的な回避策として、以下の手順を実施してください。

  1. Crowdサービスを停止します。
  2. Crowd の installation directory と data directory から pdkinstall-plugin のjarファイルを検索し、存在すれば削除します
  3. <Crowd installation directory>/crowd-webapp/WEB-INF/classes/atlassian-bundled-plugins.zip から pdkinstall-plugin jarファイル（pdkinstall-plugin-x.x.jar）を削除します。　
  4. Crowdサービスを起動します。
  5.  installation directory と data directoryに pdkinstall-plugin の jarファイルが存在していないことを確認します。

以下のbashスクリプトを使用して、上記の緩和策をLinuxにて適用できます。

#!/bin/bash
set -u
 
INSTALLATION_DIRECTORY= # set this to where crowd is installed
DATA_DIRECTORY= # set this to the crowd data directory
 
if [ -z "$INSTALLATION_DIRECTORY" ]
then
    echo "Please set INSTALLATION_DIRECTORY"
    exit 1
fi
 
if [ -z "$DATA_DIRECTORY" ]
then
    echo "Please set DATA_DIRECTORY"
    exit 1
fi
 
if test -f $DATA_DIRECTORY; then
    echo "Please check that DATA_DIRECTORY is correct."
    exit 1
fi
 
 
if test -f $INSTALLATION_DIRECTORY/stop_crowd.sh; then
    echo "Stopping Crowd"
    $INSTALLATION_DIRECTORY/stop_crowd.sh > /dev/null
    find $INSTALLATION_DIRECTORY -iname 'atlassian-bundled-plugins.zip' -exec zip -d {}  'pdkinstall-plugin-*.jar' \;
    # You should see something like deleting: pdkinstall-plugin-0.4.jar after the above find command has run
 
    find $DATA_DIRECTORY -iname 'pdkinstall-plugin*' -exec rm {} \;
    echo "Starting Crowd"
    if test -f $INSTALLATION_DIRECTORY/start_crowd.sh; then
        $INSTALLATION_DIRECTORY/start_crowd.sh
        sleep 60
        find $DATA_DIRECTORY -iname 'pdkinstall-plugin*' -exec "Failed to apply the mitigation - {} still exists" \;
    else
        echo "Failed to start crowd"
    fi
else
    echo "Unable to stop crowd, please ensure that you have specified the correct installation directory."
fi

サポート

もしこのアドバイザリのメールが届かなく、今後メールの受け取りを希望する場合は、https://my.atlassian.com/email より Alerts emailを購読してください。


リックソフト株式会社 は、日本でトップレベルのAtlassian Platinum Solution Partnerです。
大規模ユーザーへの対応実績が認められたEnterpriseの認定をうけ、高度なトレーニング要件をクリアし、小規模から大規模のお客様まで対応可能な実績を示したパートナー企業です。

Copyright © Ricksoft Co., Ltd. プライバシーポリシー お問い合わせ