Trusted Design

CVE-2022-36804 の詳細

CVEの情報

説明:
Multiple API endpoints in Atlassian Bitbucket Server and Data Center 7.0.0 before version 7.6.17, from version 7.7.0 before version 7.17.10, from version 7.18.0 before version 7.21.4, from version 8.0.0 before version 8.0.3, from version 8.1.0 before version 8.1.3, and from version 8.2.0 before version 8.2.2, and from version 8.3.0 before 8.3.1 allows remote attackers with read permissions to a public or private Bitbucket repository to execute arbitrary code by sending a malicious HTTP request. This vulnerability was reported via our Bug Bounty Program by TheGrandPew.

CVE更新日: 2022-08-25 06:15:09.077000

CVSSバージョン: 3.1

CVSSスコア: 8.8

KEVの情報

KEV更新日: 2022-09-30

EPSSの情報

EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。

EPSSスコア: 0.991740000

EPSS更新日: 2026-10-16 00:00:00

SSVCの情報

SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。

Exploitation: active

Technical Impact: high

Automatable: False

AIを使った解説

解説:

CVE-2022-36804について、以下の観点で解説します。

1. 脆弱性の概要

CVE-2022-36804は、Atlassian Bitbucket ServerおよびData Centerに存在する深刻なコマンドインジェクションの脆弱性です。複数のAPIエンドポイントにおける入力検証の不備に起因し、攻撃者は悪意のあるHTTPリクエストを送信することで任意のコードを実行できます。この脆弱性は、Git関連の操作を処理するアプリケーションのREST APIエンドポイントにおける、不適切な入力検証に根本原因があります。

1.1 影響

本脆弱性が悪用されると、攻撃者はBitbucketサービスアカウントの権限でサーバー上で任意のシェルコマンドを実行することが可能になります。これはリモートからの認証されたコード実行（RCE）を可能にし、システムへの広範な影響をもたらします。CISA（サイバーセキュリティ・社会基盤安全保障庁）のKnown Exploited Vulnerabilitiesカタログに登録されており、実際に野外での悪用が確認されています。

1.2 深刻度

本脆弱性の深刻度は高く、CVSSv3スコアは9.8（Critical）と評価されています。NIST NVDにおけるCVSS 3.x基本スコアは8.8 (HIGH) で、攻撃元区分はネットワーク、攻撃条件の複雑さは低、必要な特権は低、ユーザー関与は不要、機密性・完全性・可用性への影響はすべて高と評価されています (CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H)。Atlassianもこの脆弱性を「Critical」と評価しており、悪用が容易であるとされています。

2. 対象となる環境

2.1 影響を受けるOSバージョン

特定のOSバージョンに限定されるものではなく、Atlassian Bitbucket ServerおよびData Centerが動作する環境が影響を受けます。

2.2 影響を受ける設定

以下のバージョンのAtlassian Bitbucket ServerおよびData Centerが影響を受けます。 * バージョン7.0.0以降7.6.17未満 * バージョン7.7.0以降7.17.10未満 * バージョン7.18.0以降7.21.4未満 * バージョン8.0.0以降8.0.3未満 * バージョン8.1.0以降8.1.3未満 * バージョン8.2.0以降8.2.2未満 * バージョン8.3.0以降8.3.1未満

なお、Atlassian Cloudインスタンスは本脆弱性の影響を受けません。

攻撃の前提条件として、攻撃者が公開またはプライベートなBitbucketリポジトリへの読み取り権限を持っている必要があります。これには匿名読み取りアクセスが有効になっている公開リポジトリも含まれます。

3. 影響を受けた時の兆候

具体的な影響を受けた際の兆候については、公式のアドバイザリ等で明確に記述されているものはありません。しかし、任意のコード実行が可能となるため、以下のような異常な活動が兆候として考えられます。

  • Bitbucketサーバー上での予期せぬプロセス実行
  • 通常とは異なるネットワーク通信
  • ファイルシステムの予期せぬ変更やファイルの作成
  • サーバーのパフォーマンス低下
  • システムログにおける不審なエラーや警告

PoC（概念実証）エクスプロイトも公開されており、これらが悪用されている可能性があります。

4. 推奨対策

4.1 本対策

ベンダーから提供されている修正済みバージョンへの速やかなアップグレードが最も推奨される対策です。 修正済みバージョンは以下の通りです。 * 7.6.17 * 7.17.10 * 7.21.4 * 8.0.3 * 8.1.3 * 8.2.2 * 8.3.1

Bitbucketメッシュノードを構成している場合は、これも対応する修正済みバージョンに更新する必要があります。

4.2 暫定回避策（緩和策）

直ちにアップグレードが困難な場合の暫定的な緩和策として、feature.public.access=false を設定して、パブリックリポジトリをグローバルに無効にすることが挙げられます。これにより、未認証の攻撃からの攻撃ベクトルは排除されますが、ユーザーアカウントを持つ認証済みの攻撃者による悪用の可能性は残るため、完全な緩和策ではありません。公開リポジトリが存在しない環境であっても、認証された攻撃者には影響がある点に注意が必要です。

参照したサイト

NVDサイト

NVDでCVEの詳細を見る

戻る