ScriptRunner for Jira /ScriptRunner for Confluence Security Advisory 2020-01-23 日本語訳

この記事は、2020年1月23日に Adaptavist 社から配信された件名「[SECURITY ADVISORY] Critical Vulnerability and Fix for ScriptRunner for Jira」のメールを日本語翻訳しています。

ScriptRunner for Jira /ScriptRunner for Confluenceのクリティカルな脆弱性と修正について

以下、ScriptRunner for Jira Server/Data Center、 ScriptRunner for Confluence Server/Data Center の最近発見したセキュリティ脆弱性をお知らせします。本脆弱性は、 ScriptRunner for Jira ver.5.1.0 から 5.6.11.2-p5 まで、 ScriptRunner for Confluence の ver.5.1.7 から 5.6.11.2-p5 までのすべてのバージョンに影響します。

セキュリティ脆弱性の対象製品バージョン

ScriptRunner for Jira Server/Data Center ver. 5.1.0 - 5.6.11.2-p5
ScriptRunner for Confluence Server/Data Center ver. 5.1.7 - 5.6.11.2-p5

本脆弱性について

リモートコードを実行できる脆弱性があります。悪意のある認証済のJira / Confluenceユーザーが、脆弱性を悪用してJiraやConfluenceインスタンス内で任意のコードを実行できます。

この脆弱性は、アトラシアンの Atlassian's Security Levels for Security Issues に従って Critical と評価され、ソースコードの内部セキュリティ監査の一部として特定されました。アプリ（アドオン）ベンダーのAdaptavist社は、この問題を認識した後、ただちにこの欠陥を修正しました。

調査によりますと、この脆弱性が悪用された事例はまだございません。

脆弱性を修正するには

あなたの環境で本脆弱性を修正するために、ScriptRunner for Jira/ Script Runner for Confluence をただちに ver.5.6.12 以上へアップグレードしてください。

緩和策

ScriptRunner for Jira/ Script Runner for Confluence をすぐにver.5.6.12 以上へアップグレードできない場合は、

JiraやConfluenceのフロントにリバースプロキシを配置している場合は、<base_url>rest/scriptrunner/*/remote-events/ を含むHTTPリクエストをブロックすることで、脆弱性を緩和できます。
以下のAdaptavist社のドキュメントにApacheでリクエストをブロックする設定例が記載されていますので、ご参照ください。

Workaround for ScriptRunner Server/Data Center Code Execution Vulnerability (SRPLAT-876)

本脆弱性については、右記の課題で追跡できます。：https://productsupport.adaptavist.com/browse/SRPLAT-876