【活用ガイド】

JVNDB-2021-001034

Atlassian 製 Bitbucket にインストールディレクトリの ACL 設定不備による権限昇格の脆弱性

概要

Atlassian 製 Bitbucket には、デフォルトのインストールディレクトリにおいて ACL が適切に設定されないことに起因する権限昇格の脆弱性が存在します。

Bitbucket は、Atlassian が提供するソースコードおよびプロジェクト管理ツールです。
該当製品のインストーラは、C:\Atlassian\Bitbucket\ のようなデフォルトのインストールディレクトリに対して ACL を適切に設定できません。そのため、管理者権限を持たない Windows ユーザによって当該フォルダに悪意のある DLL ファイルを配置され、SYSTEM 権限で任意のコードを実行してしまう可能性があります。
CVSS による深刻度 (CVSS とは?)

CVSS v3 による深刻度
基本値: 7.8 (重要) [IPA値]
  • 攻撃元区分: ローカル
  • 攻撃条件の複雑さ: 低
  • 攻撃に必要な特権レベル: 低
  • 利用者の関与: 不要
  • 影響の想定範囲: 変更なし
  • 機密性への影響(C): 高
  • 完全性への影響(I): 高
  • 可用性への影響(A): 高
CVSS v2 による深刻度
基本値: 9.3 (危険) [NVD値]
  • 攻撃元区分: ネットワーク
  • 攻撃条件の複雑さ: 中
  • 攻撃前の認証要否: 不要
  • 機密性への影響(C): 全面的
  • 完全性への影響(I): 全面的
  • 可用性への影響(A): 全面的
影響を受けるシステム


Atlassian
  • Bitbucket 6.10.9 より前のバージョン
  • Bitbucket 7.6.4 より前のバージョン
  • Bitbucket 7.7.x 系すべてのバージョン
  • Bitbucket 7.8.x 系すべてのバージョン
  • Bitbucket 7.9.x 系すべてのバージョン
  • Bitbucket 7.10.0

想定される影響

特別に細工された DLL ファイルを当該製品のインストールディレクトリ配下に配置されることにより、当該製品がインストールされている Windows システムにおいて SYSTEM 権限で任意のコードが実行される可能性があります。
対策

[アップデートする]
開発者が提供する情報をもとに、最新版にアップデートしてください。
開発者は、本脆弱性の対策として次のバージョンをリリースしています。

　* Bitbucket 6.10.9
　* Bitbucket 7.6.4
　* Bitbucket 7.10.1
ベンダ情報

Atlassian
CWEによる脆弱性タイプ一覧  CWEとは?

  1. 不適切なデフォルトパーミッション(CWE-276) [NVD評価]
共通脆弱性識別子(CVE)  CVEとは?

  1. CVE-2020-36233
参考情報

  1. JVN : JVNVU#92838794
  2. JVN : JVNTA#91240916
  3. National Vulnerability Database (NVD) : CVE-2020-36233
  4. US-CERT Vulnerability Note : VU#240785
  5. 関連文書 : MITRE ATT&CK T1574.001 (Hijack Execution Flow: DLL Search Order Hijacking)\
更新履歴

  • [2021年02月22日]
      掲載

公表日2021/02/19
登録日2021/02/22
最終更新日2021/02/22