目次

Jira Service Management Data Center/Server および Assets アプリの重大な外部実体参照 (XXE) を利用した脆弱性 - CVE-2019-13990

脆弱性の説明

Jira Service Management Server/Data Center および Assets アプリのの特定のバージョンにおいて CVE-2019-13990 脆弱性を受けることを Atlassian 社が発表しました。
影響を受けるバージョン の Jira Service Management Server/Data Center および および Assets アプリには、Terracotta Quartz Scheduler の脆弱なバージョンが含まれており、認証された攻撃者がジョブの記述を使用して 外部実体参照 (XEE) インジェクション攻撃を開始できるようになっています。

Atlassian 社は、NVD vulnerability score に基づき、重大レベルのセキュリティアドバイザリを公開することを約束しています。
本ケースではこの Terracotta Quartz Scheduler のベンダーの CVE の CVSS は重大(9.8)ですが、このスコアは Atlassian 社のソフトウェアで使用されているコンテキストを考慮していません。
Jira への認証済みユーザー（カスタマー除く、Assets を利用できるユーザー）がこの脆弱性を悪用できます。
そのため、Atlassian 社内部では、本脆弱性の深刻度を 「高」と評価しています。

深刻度

NVD はこの脆弱性の深刻度を「重大（Critical）」と評価していますが、Atlassian 社は内部評価により、この脆弱性の深刻度を「高（8.4、CVSS:3.0/AV:L/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H）」と評価しています。

影響を受けるバージョン

今回の XXE (外部実体参照のインジェクション攻撃) 脆弱性は、Jira Service Management Data Center および Server の すべてのバージョン（修正済みバージョン以外）、Assets アプリ(修正済みバージョン以外) に影響します。
Atlassian 社は 長期サポートリリースバージョン以降へのアップグレードを推奨しています。

Jira Service Management

Assets (Insight) アプリ

以下の製品とバージョンに Assets (Insight) アプリをインストールして利用している場合に本脆弱性の影響を受けます。

• Jira Service Management Server/Data Center の修正済みバージョン以外

• Jira Core (Server)

• Jira Software (Server/Data Center)

必要なアクション

Atlassian 社では、影響を受けるバージョンをご利用の場合は、以下の修正済みバージョン（もしくはそれ以降のバージョン）へアップグレードすることを推奨しています。

修正済みバージョン

Atlassian 社は、影響を受けるバージョンを利用のインスタンスに対して、以下の修正済みバージョンにアップグレードすることを推奨しています。

Jira Service Management

Jira Service Management Data Center と Jira Service Management Server の最新バージョンの詳細については、こちら のリリースノートをご覧ください。最新バージョンはダウンロードセンターからダウンロードできます。

Assets (Insight) アプリ

修正済みバージョンへアップグレードをお願いします。インストールファイルは以下リンクより入手できます。

https://marketplace.atlassian.com/apps/1212137/assets/version-history

軽減策

すぐに Jira Service Management の修正済みバージョンにアップグレードできない場合は、以下の手順に従って Jira Service Management インスタンスで Assets を無効にすることで、本脆弱性を一時的に修正することができます。

Jira Service Management インスタンスのさまざまな種類やバージョンで Insight - Asset Management アプリをインストール、アンインストール、有効化、または無効化する方法