CVE-2021-26086 の詳細

CVEの情報

説明:
Affected versions of Atlassian Jira Server and Data Center allow remote attackers to read particular files via a path traversal vulnerability in the /WEB-INF/web.xml endpoint. The affected versions are before version 8.5.14, from version 8.6.0 before 8.13.6, and from version 8.14.0 before 8.16.1.

CVE更新日: 2021-08-16 01:15:06.353000

CVSSバージョン: 3.1

CVSSスコア: 5.3

KEVの情報

KEV更新日: 2024-11-12

EPSSの情報

EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。

EPSSスコア: 0.999990000

EPSS更新日: 2026-10-16 00:00:00

SSVCの情報

SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。

Exploitation: active

Technical Impact: medium

Automatable: True

AIを使った解説

解説:

CVE-2021-26086に関する解説

1. 脆弱性の概要

CVE-2021-26086は、Atlassian Jira ServerおよびData Centerにおけるパストラバーサル（ディレクトリトラバーサル）の脆弱性です。この脆弱性により、リモートの攻撃者は/WEB-INF/web.xmlエンドポイントへのパストラバーサル攻撃を介して、特定のファイルを読み取ることができます。

1.1 影響

この脆弱性は、認証なしにリモートの攻撃者がJiraサーバー上の任意のファイルを読み取ることが可能になります。特に、機密性の高い設定ファイルや情報（例: web.xml、seraph-config.xml、pom.xmlなど）が漏洩する可能性があります。この情報漏洩が悪用されると、サーバーログの改ざんを通じてリモートコード実行 (RCE) や機密ファイルの抜き出しにつながる可能性があります。

1.2 深刻度

CVSS v3のスコアは「中程度 (Medium)」の5.3と評価されています。しかし、CISA (米国サイバーセキュリティ・インフラセキュリティ庁) の既知の悪用されている脆弱性カタログ (KEV) に追加されており、実際に悪用が確認されているため、注意が必要です。

2. 対象となる環境

2.1 影響を受けるOSバージョン

特定のOSバージョンに限定されず、Atlassian Jira ServerおよびData Centerが動作する環境が影響を受けます。

2.2 影響を受ける設定

以下のバージョンのAtlassian Jira ServerおよびData Centerが影響を受けます。

バージョン8.5.14より前のJira Server
バージョン8.6.0から8.13.6未満のJira ServerおよびData Center
バージョン8.14.0から8.16.1未満のJira ServerおよびData Center

脆弱なエンドポイントとしては、/WEB-INF/web.xml、/WEB-INF/decorators.xml、/WEB-INF/classes/seraph-config.xml、META-INF/maven/com.atlassian.jira/jira-webapp-dist/pom.properties、META-INF/maven/com.atlassian.jira/jira-webapp-dist/pom.xml、META-INF/maven/com.atlassian.jira/atlassian-jira-webapp/pom.xmlなどが挙げられます。

3. 影響を受けた時の兆候

この脆弱性はファイル読み取りに特化しているため、直接的なシステム障害や異常な動作は現れにくい可能性があります。しかし、以下のような兆候が考えられます。

Jiraのアクセスログに、/WEB-INF/web.xmlなど、通常アクセスされない設定ファイルへの不審なリクエストが見られる。
ネットワーク監視で、Jiraサーバーから外部への不審なデータ転送（機密情報のエクスフィルトレーション）が確認される。
サーバーのディスクI/Oが異常に高くなるなど、ファイル読み取りに関連するリソース使用量の増加。

4. 推奨対策

4.1 本対策

影響を受けるJira ServerおよびData Centerを以下のパッチ適用済みバージョンにアップグレードしてください。

Jira ServerおよびData Center 8.5.14以降
Jira ServerおよびData Center 8.13.6以降
Jira ServerおよびData Center 8.16.1以降

4.2 暫定回避策（緩和策）

直ちにパッチを適用できない場合は、以下の緩和策を検討してください。

リバースプロキシやロードバランサーの層で、;WEB-INFや;META-INFを含むリクエストをブロックするルールを追加する。
/s/パスへのアクセス権限を制限する。

参照したサイト

NVDサイト

NVDでCVEの詳細を見る

戻る