Jira Server and Jira Data Center Security Advisory 2019-09-18 日本語訳

詳細情報

Jira Server / Jira Data Center  Jira Importers Pluginにおけるテンプレートインジェクション  - CVE-2019-15001

脆弱性の概要

以下のJira Server と Jira Data Center のバージョンはこの脆弱性の影響を受けます。

• 7.0.10 - 7.6.15 (7.6.16で修正)
• 7.7.0  - 7.13.7 (7.13.8で修正)
• 8.0.0 - 8.1.2 (8.1.3で修正)
• 8.2.0 - 8.2.4 (8.2.5で修正)
• 8.3.0 - 8.3.3 (8.3.4で修正) 
• 8.4.0  (8.4.1で修正)

Jira Importers Pluginにおけるテンプレートインジェクション - CVE-2019-15001 について

説明

 Jira Server /Data Centerの Jira Importers Plugin (JIM)にサーバーサイド・テンプレートインジェクションの脆弱性があります。"Jira管理者権限" を持つ攻撃者は、この脆弱性を悪用できます。脆弱性の悪用に成功すると、脆弱性のあるバージョンのJira Server / Data Centerを実行するシステムに対して、攻撃者は外部からコードを実行できます。　

Jira Server / Jira Data Centerの 7.0.10 - 7.6.15、7.7.0  - 7.13.7 、8.0.0 - 8.1.2 、8.2.0 - 8.2.4 、8.3.0 - 8.3.3  、8.4.0 のバージョンはこの脆弱性の影響を受けます。

本件の対応状況はこちらの課題で追跡できます。:  https://jira.atlassian.com/browse/JRASERVER-69933

あなたにしてほしいこと

修正

Atlassianは以下のJira Core Server バージョンのリリースでこの問題を対処しています。

1. 8.4.1  https://www.atlassian.com/software/jira/core/download からダウンロードできます。
2. 8.3.4  https://www.atlassian.com/software/jira/core/update からダウンロードできます。
3. 8.2.5  https://www.atlassian.com/software/jira/core/update からダウンロードできます。
4. 8.1.3  https://www.atlassian.com/software/jira/core/update からダウンロードできます。
5. 7.13.8  https://www.atlassian.com/software/jira/core/update からダウンロードできます。
6. 7.6.16  https://www.atlassian.com/software/jira/core/update からダウンロードできます。

Atlassianは以下のJira Software Server & Jira Software Data Centerバージョンのリリースでこの問題を対処しています。

1. 8.4.1  https://www.atlassian.com/software/jira/download からダウンロードできます。
2. 8.3.4  https://www.atlassian.com/software/jira/update  からダウンロードできます。
3. 8.2.5  https://www.atlassian.com/software/jira/update からダウンロードできます。
4. 8.1.3  https://www.atlassian.com/software/jira/update からダウンロードできます。
5. 7.13.8  https://www.atlassian.com/software/jira/update からダウンロードできます。
6. 7.6.16  https://www.atlassian.com/software/jira/update からダウンロードできます。

Jiraのアップグレード

Atlassian は最新バージョンへのアップグレードを推奨します。Jira Server /Jira Data Centerの最新バージョンの詳細については、release notes をご確認ください。Jira Server /Jira Data Centerの最新バージョンは、download centerからダウンロードできます。

(1)　現在のフィーチャーバージョン（2018年12月10日以降にリリースされたフィーチャーバージョン）の場合、現在ご利用のフィーチャーバージョンの次のバグフィックスバージョンへアップグレードしてください。

最新バージョン(8.4.1)へアップグレードできない場合：

(2) 現在の Enterprise release バージョン (2017年7月10日以降にリリースされたエンタープライズリリースバージョン) をご利用の場合は、最新のエンタープライズリリースバージョン (7.13.8) へアップグレードしてください。

(3) 　古いバージョン（2018年12月10日以前にリリースされたフィーチャーバージョン、もしくは 2017年7月10日以前にリリースされたEnterprise release バージョン）をご利用の場合は、最新バージョン(8.4.1) へアップグレードするか、最新のエンタープライズリリースバージョン (7.13.8)へアップグレードしてください。

緩和策

Jiraをただちにアップグレードできない場合、もしくは Jira Cloudへ移行処理を実施する場合は、一時的な対応策として、以下のエンドポイントへのPUTリクエストをブロックします。

/rest/jira-importers-plugin/1.0/demo/create

Jiraをアップグレードした後に、上記のリクエストのブロックを解除してください。