Bitbucket ServerおよびData Center - 重大な深刻度のコマンドインジェクションの脆弱性 - CVE-2022-43781 日本語訳

この記事は Atlassian 社のセキュリティアドバイザリや Atlassian 社への問合せ回答の情報を元に作成したものです。(2022年11月17日時点の情報です)

Bitbucket ServerおよびData Center - 重大な深刻度のコマンドインジェクションの脆弱性 - CVE-2022-43781

要約	CVE-2022-43781 - コマンドインジェクションの脆弱性
アドバイザリのリリース日	Nov 17, 2022 午前 2時 (JST)
対象製品	Bitbucket　 Bitbucket Server Bitbucket Data Center
影響を受けるバージョン	7.0から7.5 (すべてのバージョン) 7.6.0から7.6.18 7.7から7.16 (すべてのバージョン) 7.17.0から7.17.11 7.18から7.20 (すべてのバージョン) 7.21.0から7.21.5 `bitbucket.properties` ファイルで `mesh.enabled=false` が設定されている場合 8.0.0から8.0.4 8.1.0から8.1.4 8.2.0から8.2.3 8.3.0から8.3.2 8.4.0から8.4.1
修正されたバージョン	7.6.19以降 7.17.12以降 7.21.6以降 8.0.5以降 8.1.5以降 8.2.4以降 8.3.3以降 8.4.2以降
CVE ID(s)	CVE-2022-43781

アトラシアン社はアトラシアンの深刻度レベルで公開されている尺度に従って、この脆弱性の深刻度レベルを重大として評価しています。

この勧告は、Bitbucket Data Center および Server のバージョン7.0.0で追加されたクリティカルなセキュリティ脆弱性を開示するものです。以下のバージョンがこの脆弱性の影響を受けます。

Bitbucket Data Center および Server 7.0から7.21
Bitbucket Data Center および Server 8.0から8.4 (bitbucket.properties ファイルで mesh.enabled=false が設定されている場合

※ PostgreSQL データベースを利用している Bitbucket Data Center および Server は、本脆弱性の影響を受けません。

説明

Linux 上で実行されている Bitbucket Data Center および Server の環境変数を利用するコマンドインジェクションの脆弱性があります。ユーザー名を制御できる攻撃者はこの問題を悪用して、システム上でコードを実行できます。ユーザー名を制御できる攻撃者は以下の通りとなります。

この脆弱性は右記のページで追跡できます: https://jira.atlassian.com/browse/BSERV-13522

アトラシアンは、影響を受けるすべての環境を、上記に記載された修正済みバージョン (あるいはそれ以降の任意のバージョン) にアップグレードすることを推奨します。

最新の Bitbucket Data Center および Server の最新バージョンの説明についてはリリースノートをご確認ください。Bitbucket の最新バージョンをダウンロードセンターからダウンロードできます。

よくある質問 (FAQ) についてはこちらをクリックしてください。

ご利用の Bitbucket インスタンスをアップグレードできない場合、一時的な軽減策として「パブリックサインアップ」を無効化して対応します。パブリックサインアップを無効化すると、未認証ユーザーの攻撃ではなく、認証済みユーザーの攻撃のみとなり、情報漏えいのリスクを減らすことができます。

この設定を無効化するには管理 > 認証に移動してパブリックサインアップを許可チェックボックスのチェックを外します。

認証済みの管理者またはシステム管理者ユーザーは、パブリックサインアップが無効化された状態でも脆弱性を悪用できます。このため、この軽減策は一時的なものと見なす必要があり、お客様には可能な限り迅速に修正済みバージョンにアップグレードすることが推奨されます。