Jira Service Management Server/Data Center における認証破損の脆弱性 - CVE-2023-22501 2023-02-01 日本語訳

この記事は Atlassian 社のセキュリティアドバイザリや Atlassian 社への問合せ回答の情報を元に作成したものです。(2023年2月2日時点の情報です)

目次


Jira Service Management Server/Data Center における認証破損の脆弱性 - CVE-2023-22501

要約

重大なセキュリティ設定ミスの脆弱性

アドバイザリのリリース日

Feb 2, 2023 午前 2時 (JST)

対象製品

  • Jira Service Management Server

  • Jira Service Management Data Center

CVE ID(s)

  • CVE-2023-22501

脆弱性の説明

Atlassian 社は、このアドバイザリで、Jira Service Management Server/Data Center のバージョン 5.3.0 で追加された重大な影響度のセキュリティ脆弱性を開示しています。
次のバージョンが本脆弱性の影響を受けます。

  • 5.3.0

  • 5.3.1

  • 5.3.2

  • 5.4.0

  • 5.4.1

  • 5.5.0

Jira Service Management Server/Data Center で、認証の脆弱性が見つかりました。これは、攻撃者が特定の状況下で別のユーザーになりすまして Jira Service Management インスタンスへのアクセスできるというものです。

Jira Service Management インスタンスで、ユーザー ディレクトリへの書き込みアクセスおよび送信メールが有効になっている場合、これまでログインしたことがないユーザーに送信されるサインアップトークンに、攻撃者がアクセスできます。
このようなトークンへのアクセスは、以下の2つパターンのいずれかで実現できます。

  • 攻撃者が 該当のユーザーを含む Jira 課題またはリクエストに共有者として含まれている場合

  • 攻撃者が、該当のユーザーからの「リクエストを見る」リンクを含むメールを転送されるか、攻撃者がそのメールへのアクセス権を得た場合

このシナリオでは特に Bot アカウントが影響を受けやすいです。
シングルサインオンが有効化されたインスタンス内の、誰もが自身でアカウントを作成できるプロジェクトでは、外部のカスタマーアカウントが影響を受ける可能性があります。

この脆弱性は右記のページで追跡できます https://jira.atlassian.com/browse/JSDSERVER-12312

Atlassian Cloud サイトは影響を受けません。

ご利用の Jira サイトが atlassian.net ドメインでアクセスしているものの場合は、アトラシアンがホストしている環境のため、この脆弱性の影響を受けません。

修正済みバージョン

製品

修正済みバージョン

製品

修正済みバージョン

Jira Service Management Server および Data Center

  • 5.3.3

  • 5.4.2

  • 5.5.1

  • 5.6.0 以降

必要なアクション

影響を受ける各環境を、上記に記載されたいずれかの修正済みバージョン (詳細についてはこのページの「修正済みバージョン」を参照) 以降にアップグレードすることを推奨します。
Jira Service Management Server/Data Center の最新バージョンの詳細についてはリリースノートをご確認ください。
Jira Service Management/Data Center の最新バージョンはダウンロードセンターからダウンロードできます。

軽減策

この脆弱性に対応するために推奨される方法は、Jira Service Management の修正済みバージョンへのアップグレードです。

Jira Service Management を即座にアップグレードすることが難しい場合は、一時的な回避策としてバージョンごとの servicedesk-variable-substitution-plugin JARファイルを手動でアップグレードして対応できます。

Jira Service Management バージョン

JARファイル

servicedesk-variable-substitution-plugin JARファイルの更新方法

  1. 上記の表からバージョンごとの JAR ファイルをダウンロードします。

  2. Jira サービスを停止します。

  3. JAR ファイルを 以下のホームディレクトリ配下へコピーします。

    1. Server 版の場合: <Jira_Home>/plugins/installed-plugins

    2. Data Center 版の場合: <Jira_Shared>/plugins/installed-plugins

  4. Jira サービスを起動します。

ご不明点は ヘルプデスク (要サポートサービス契約)までお問い合わせください。
サポートサービスの新規ご契約は お問い合わせフォーム にご連絡ください。

 

リックソフト株式会社 は、日本でトップレベルのAtlassian Platinum Solution Partnerです。
大規模ユーザーへの対応実績が認められたEnterpriseの認定をうけ、高度なトレーニング要件をクリアし、小規模から大規模のお客様まで対応可能な実績を示したパートナー企業です。


Copyright © Ricksoft Co., Ltd. プライバシーポリシー お問い合わせ