/
Multiple Products Security Advisory - Servlet Filter Dispatcher Vulnerabilities - CVE-2022-26136, CVE-2022-26137 2022-07-20 日本語訳

Multiple Products Security Advisory - Servlet Filter Dispatcher Vulnerabilities - CVE-2022-26136, CVE-2022-26137 2022-07-20 日本語訳

Owned by 眞一 芦田 (Deactivated)
2022/07/21
2 min read

この記事は Atlassian 社のセキュリティアドバイザリや Atlassian 社への問合せ回答の情報を元に作成したものです。(2022年7月21日時点の情報です)

https://confluence.atlassian.com/security/multiple-products-security-advisory-cve-2022-26136-cve-2022-26137-1141493031.html

Multiple Products Security Advisory - Servlet Filter Dispatcher Vulnerabilities - CVE-2022-26136, CVE-2022-26137

要約

複数の Atlassian 製品における　サーブレットフィルタ dispatcher の脆弱性

アドバイザリのリリース日

Jul 21, 2022 午前 2時 (JST)

対象製品

  • Jira Server/Data Center

  • Jira Service Management Server/Data Center

  • Confluence Server/Data Center

  • Bitbucket Server/Data Center

  • Bamboo Server/Data Center

  • Crowd Server/Data Center

  • Fisheye/Crucible

Atlassian Cloud 製品は影響を受けません 

CVE ID(s)

  • CVE-2022-26136

  • CVE-2022-26137


脆弱性の説明

任意のサーブレットフィルタのバイパス (CVE-2022-26136)

複数の Atlassian 製品における脆弱性により、リモートの認証していない攻撃者が、Atlassian 製のアプリおよびサードパーティ製のアプリで使用している サーブレットフィルタをバイパスできます。
この脆弱性の影響を受けるかは、各アプリがどのサーブレットフィルタを使用しているか、またそのフィルタをどのように使用しているかにより異なります。

Atlassian 社では、この脆弱性の根本的な原因を修正する製品バージョンをリリースしていますが、潜在的な影響をすべて網羅しておりません。
確認されていますのは以下の攻撃になります。

  • 認証バイパス
    特殊に細工された HTTP リクエストを送信することにより、サードパーティ製アプリが認証を実施するのに使用しているカスタムサーブレットフィルタをバイパスできます。
    リモートの未認証の攻撃者は、この脆弱性を悪用し、サードパーティ製アプリが使用する認証をバイパスできます。Atlassian 社はこの攻撃が可能であることを確認していますが、影響を受けるすべてのアプリのリストは確定しておりません。

  • クロスサイトスクリプティング（XSS）
    特殊に細工された HTTP リクエストを送信することにより、 Atlassian Gadget の正当性を検証するために利用するサーブレットフィルタをバイパスし、その結果、クロスサイトスクリプティング（XSS）攻撃を実施できます。
    攻撃者はユーザーに悪意のある URL のリクエストを促し、それによりユーザーのブラウザで任意の Java Script を実行できます。

用語解説：サーブレットフィルタとは？

サーブレットフィルタとは、クライアントから受信した HTTP リクエストを、バックエンドのリソースに送る前に割り込んで処理する Java コードです。
これは、バックエンドから取得した HTTP レスポンスを、クライアントに送信する前に割り込んで処理をするためにも利用されます。

サーブレットフィルタをつけることにより、ロギング、監査、認証、認可などのセキュリティ機構の処理を実行できます。
例えば、サーブレットフィルタが認証の処理をしている場合は、未認証のリクエストを通さないといったセキュリティ機構の役割を担います。

サーブレットフィルタの追加呼び出し (CVE-2022-26137)

複数の Atlassian 製品における脆弱性により、リモートの認証していない攻撃者は、アプリケーションがリクエストもしくはレスポンスを処理する際に追加のサーブレットフィルタを呼び出すことが可能になります。
Atlassian 社ではこの脆弱性に関連する唯一の既知のセキュリティ問題を確認し修正しました。

  • Cross-origin Resource Sharing (CORS) のバイパス
    特殊な方法で作成された HTTP リクエストを送信することで、CORS リクエストへの応答に利用されるサーブレットフィルタを呼び出し、その結果、CORS をバイパスすることができます。
    攻撃者はユーザーに悪意のある URL のリクエストを促し、脆弱性を持つアプリケーションにユーザーの権限を利用してアクセスできます。

これらの脆弱性は以下のページで追跡できます:

深刻度

Atlassian 社は、本脆弱性の セキュリティ問題の深刻度 を 重大 レベルと評価しています。

影響を受けるバージョン

製品

影響を受けるバージョン

製品

影響を受けるバージョン

Bamboo Server/Data Center

  • 8.0.8 までのすべてのバージョン

  • 8.1.0 - 8.1.7

  • 8.2.0 - 8.2.3

Bitbucket Server/Data Center

  • 7.6.15 までのすべてのバージョン

  • 7.7.0 - 7.17.7

  • 7.18.x のすべてのバージョン

  • 7.19.0 - 7.19.4

  • 7.20.0 - 7.20.1

  • 7.21.0 - 7.21.1

  • 8.0.0

  • 8.1.0

Confluence Server/Data Center

  • 7.4.16 までのすべてのバージョン

  • 7.5.x - 7.13.6

  • 7.14.0 - 7.14.2

  • 7.15.0 - 7.15.1

  • 7.16.0 - 7.16.3

  • 7.17.0 - 7.17.3

  • 7.18.0

Crowd Server/Data Center

  • 4.3.7 までのすべてのバージョン

  • 4.4.0 - 4.4.1

  • 5.0.0

Crucible/Fisheye

  • 4.8.9 までのすべてのバージョン

Jira Server/Data Center

  • 8.13.21 までのすべてのバージョン

  • 8.14.0 - 8.20.9

  • 8.21.x のすべてのバージョン

  • 8.22.0 - 8.22.3

Jira Service Management Server/Data Center

  • 4.13.21 までのすべてのバージョン

  • 4.14.0 - 4.20.9

  • 4.21.x のすべてのバージョン

  • 4.22.0 - 4.22.3

修正済みバージョン