JVNDB-2026-027791

AtlassianのBambooにおけるOS コマンドインジェクションの脆弱性

この重要度がCriticalのOSコマンドインジェクション脆弱性は、Bamboo Data Centerのバージョン9.6.0、10.0.0、10.1.0、10.2.0、11.0.0、11.1.0、12.0.0、および12.1.0で発見されました。このRCE（リモートコード実行）脆弱性は、CVSSスコア9.4、CVSSベクターCVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:Hを持ち、認証された攻撃者がリモートシステム上でコマンドを実行できるようにします。機密性、完全性、可用性に対していずれも高い影響を及ぼし、ユーザーの操作を必要としません。AtlassianはBamboo Data Centerのお客様に対して、最新バージョンへのアップグレードを推奨しています。アップグレードが不可能な場合は、以下のサポート対象の修正バージョンのいずれかにインスタンスをアップグレードしてください。 Bamboo Data Center 9.6.0の場合は9.6.25以上のリリースへ、 Bamboo Data Center 10.2の場合は10.2.18以上のリリースへ、 Bamboo Data Center 12.1の場合は12.1.6以上のリリースへアップグレードしてください。リリースノートは以下をご参照ください（https://confluence.atlassian.com/bambooreleases/bamboo-release-notes-1189793869.html）。最新バージョンのBamboo Data Centerはダウンロードセンター（https://www.atlassian.com/software/bamboo/download-archives）からダウンロード可能です。

Atlassian

• Bamboo 10.0.0 以上 10.2.18 未満
• Bamboo 11.0.0 以上 12.1.6 未満
• Bamboo 9.6.2 以上 9.6.25 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。
・当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。
・当該ソフトウェアが完全に停止する可能性があります。

ベンダ情報を参照して適切な対策を実施してください。

Atlassian

• Atlassian : Security Bulletin - April 21 2026 | Atlassian Support | Atlassian Documentation
• Atlassian : [BAM-26364] OS Command Injection in Bamboo Data Center - CVE-2026-21571 - Create and track feature requests for Atlassian products.

1. OSコマンドインジェクション(CWE-78) [その他]

1. CVE-2026-21571

1. National Vulnerability Database (NVD) : CVE-2026-21571

• [2026年08月12日]
    掲載