Trusted Design

解説:

CVE-2019-11580は、Atlassian CrowdおよびCrowd Data Centerにおけるリモートコード実行の脆弱性です。以下に詳細を解説します。

1. 脆弱性の概要

Atlassian CrowdおよびCrowd Data Centerのリリースビルドにおいて、開発プラグインであるpdkinstallが不適切に有効になっていました。この設定不備により、攻撃者は未認証または認証されたリクエストを送信して任意のプラグインをインストールすることができ、結果としてリモートコード実行（RCE）が可能となります。

1.1 影響 この脆弱性が悪用されると、以下の影響が発生する可能性があります。 * 脆弱なバージョンのAtlassian CrowdまたはCrowd Data Centerを実行しているシステム上でリモートコード実行が可能になる。 * 攻撃者がサーバーを完全に制御し、ネットワーク上の他のデバイスへの攻撃を開始する可能性がある。 * 機密性、完全性、可用性のすべてに高い影響がある。 * 攻撃の失敗はサービス拒否 (DoS) 状態を引き起こす可能性がある。

1.2 深刻度 * CVSS v3.1 ベーススコア: 9.8 (緊急 - Critical) * CVSS v2 ベーススコア: 7.5 (高 - High) * Atlassian社はこの脆弱性の深刻度を「Critical」と評価しています。 * この攻撃は深刻なセキュリティ上の脅威であり、直ちに対策を講じる必要があるとされています。

2. 対象となる環境

2.1 影響を受ける製品およびバージョン 本脆弱性の影響を受けるのは、以下のAtlassian CrowdおよびCrowd Data Centerのバージョンです。 * CrowdおよびCrowd Data Center バージョン 2.1.0 から 3.0.4 まで (3.0.5 未満) * CrowdおよびCrowd Data Center バージョン 3.1.0 から 3.1.5 まで (3.1.6 未満) * CrowdおよびCrowd Data Center バージョン 3.2.0 から 3.2.7 まで (3.2.8 未満) * CrowdおよびCrowd Data Center バージョン 3.3.0 から 3.3.4 まで (3.3.5 未満) * CrowdおよびCrowd Data Center バージョン 3.4.0 から 3.4.3 まで (3.4.4 未満)

2.2 影響を受けるOSバージョン この脆弱性はAtlassian CrowdおよびCrowd Data Centerアプリケーション自体に存在するため、特定のOSバージョンに依存するものではありません。

2.3 影響を受ける設定 リリースビルドでpdkinstall開発プラグインが不適切に有効になっていることが原因です。

3. 影響を受けた時の兆候

• Atlassian CrowdまたはCrowd Data Centerインスタンスに対して、未認証または認証されたリクエストによって任意のプラグインがインストールされる。
• システム上でリモートコードが実行される。
• サーバーの制御が奪われる。
• 不審なプラグインの存在や、Crowd/Crowd Data Centerインスタンス上での不正なアクティビティが確認される。

4. 推奨対策

4.1 本対策 ベンダーの指示に従い、直ちにAtlassian CrowdまたはCrowd Data Centerを以下の修正バージョンにアップグレードしてください。 * バージョン 3.0.x を使用している場合は、3.0.5 以降にアップグレード。 * バージョン 3.1.x を使用している場合は、3.1.6 以降にアップグレード。 * バージョン 3.2.x を使用している場合は、3.2.8 以降にアップグレード。 * バージョン 3.3.x を使用している場合は、3.3.5 以降にアップグレード。 * バージョン 3.4.x を使用している場合は、3.4.4 以降にアップグレード。

4.2 暫定回避策（緩和策） 不明

5. 他に解説すべき観点

• この脆弱性に対する概念実証（PoC）コードが公開されており、攻撃に利用される可能性が高いです。
• 米国CISAのKnown Exploited Vulnerabilities (KEV) Catalogに登録されており、実際の攻撃での悪用が確認されています。
• 本脆弱性は入力検証の不備に起因しています。

参照したサイト

• CVE-2019-11580 — Remote Code Execution in Crowd | dbugs
• CVE-2019-11580: Proof-of-Concept for Critical Atlassian Crowd Remote Code Execution Vulnerability Now Available - Tenable
• Atlassian Crowd Exploit - CVE-2019-11580 - ExtraHop
• CVE-2019-11580 | セキュリティNOW! サイバーセキュリティ情報ポータルサイト - SMS DataTech
• Crowd Security Advisory 2019-05-22 | Crowd Data Center 7.2 | Atlassian Documentation
• CVE-2019-11580：Atlassian Crowd RCE漏洞分析-安全KER - 安全资讯平台
• Web Attack: Atlassian Crowd & Crowd Data Center CVE-2019-11580 2 - Broadcom Inc.
• CVE-2019-11580 — Patch first | CVE Explorer | Peter Bassill
• Analysis of an Atlassian Crowd RCE - CVE-2019-11580 - Corben Leo
• A CVE-2019-11580 shell - GitHub