Trusted DesignCVE-2019-11581 の詳細
CVEの情報
説明:
There was a server-side template injection vulnerability in Jira Server and Data Center, in the ContactAdministrators and the SendBulkMail actions. An attacker is able to remotely execute code on systems that run a vulnerable version of Jira Server or Data Center. All versions of Jira Server and Data Center from 4.4.0 before 7.6.14, from 7.7.0 before 7.13.5, from 8.0.0 before 8.0.3, from 8.1.0 before 8.1.2, and from 8.2.0 before 8.2.3 are affected by this vulnerability.
CVE更新日: 2019-08-09 20:15:11.270000
CVSSバージョン: 3.1
CVSSスコア: 9.8
KEVの情報
KEV更新日: 2022-03-07
EPSSの情報
EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。
EPSSスコア: 0.846210000
EPSS更新日: 2026-10-19 00:00:00
SSVCの情報
SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。
Exploitation: active
Technical Impact: high
Automatable: True
CVE-2019-11581は、Atlassian Jira ServerおよびData Centerにおけるサーバーサイドテンプレートインジェクションの脆弱性です。
1. 脆弱性の概要
1.1 影響
この脆弱性を悪用されると、認証されていないユーザーまたはJira管理者権限を持つ認証されたユーザーによって、脆弱なJira ServerまたはData Centerシステム上でリモートコード実行（RCE）が可能になります。これは、Jiraの「ContactAdministrators」および「SendBulkMail」機能内のサーバーサイドテンプレートインジェクションに起因します。
1.2 深刻度
この脆弱性は「Critical（クリティカル）」と評価されています。 米国サイバーセキュリティ・インフラセキュリティ庁（CISA）の既知の悪用されている脆弱性（KEV）カタログにも追加されており、実際に悪用されていることが確認されています。
2. 対象となる環境
2.1 影響を受けるOSバージョン
この脆弱性はOSバージョンに直接影響するものではなく、Atlassian Jira ServerおよびData Centerの特定のバージョンに影響します。Jira Cloudは影響を受けません。
影響を受けるJira ServerおよびData Centerのバージョンは以下の通りです。 * Jira 4.4.0 から 7.6.14 未満のすべてのバージョン * Jira 7.7.0 から 7.13.5 未満のすべてのバージョン * Jira 8.0.0 から 8.0.3 未満のすべてのバージョン * Jira 8.1.0 から 8.1.2 未満のすべてのバージョン * Jira 8.2.0 から 8.2.3 未満のすべてのバージョン
また、Jira Service Desk 3.0.0 から 4.2.3 未満のバージョンも影響を受ける可能性があります。
2.2 影響を受ける設定
この脆弱性が悪用可能となるには、以下のいずれかの条件が満たされている必要があります。 * JiraにSMTPメールサーバーが設定されており、かつ「Contact Administrators Form」機能が有効になっている場合（この機能はデフォルトで無効です）。 * JiraにSMTPメールサーバーが設定されており、かつ攻撃者がJira管理者アクセス権限を持っている場合。
3. 影響を受けた時の兆候
この脆弱性に関する具体的な侵害の兆候（IoC）は公開情報には明示されていません。しかし、リモートコード実行が可能であるため、システム上で予期せぬプロセスの実行、不審なファイル変更、異常なネットワーク通信などが観測される可能性があります。CISAがKEVカタログに追加していることから、実環境での悪用が確認されていることを意味します。
4. 推奨対策
4.1 本対策
影響を受けるJiraインスタンスを、以下の修正済みバージョンにできるだけ早くアップグレードすることが強く推奨されます。 * Jira 7.6.14 * Jira 7.13.5 * Jira 8.0.3 * Jira 8.1.2 * Jira 8.2.3
4.2 暫定回避策（緩和策）
SendBulkMailエンドポイントをブロックする: リバースプロキシ、ロードバランサー、またはTomcatで直接SendBulkMailエンドポイントへのアクセスを拒否することで緩和できます。ただし、これによりJira管理者が一括メールを送信できなくなります。その他解説すべき観点
参照したサイト