この記事は、2021年7月29日に re:solution 社から発表された SAML Single Sign-On (SSO) アプリのセキュリティ脆弱性記事「2021-07-29 Authentication Bypass: Network Attacker Can Login To Users’ Accounts When Usernames Are Known」を日本語翻訳し、リックソフトが補足説明を追加しています。

＜2021/8/12 更新情報＞
2021/8/12 に追加シナリオに対処する内容を含めた修正バージョンがリリースされました。
2021/7/29 にリリースされたバージョンへ既に更新されている場合でも、今回新しく更新したバージョンへバージョンアップするようにお願いします。

1 SAML Single Sign-On (SSO) - 既知の Username で認証をバイパスしてログインできる脆弱性
- 1.1 脆弱性の概要
- 1.2 脆弱性の説明
  - 1.2.1 What You Need To Do
- 1.3 修正バージョン
- 1.4 あなたがすべきこと

SAML Single Sign-On (SSO) - 既知の Username で認証をバイパスしてログインできる脆弱性

re:solution 社製 SAML Single Sign-On (SSO) アプリに見つかりましたセキュリティ脆弱性に関してお知らせします。脆弱性の詳細と、修正バージョン、対応策を記載します。

要約	既知の Username で認証をバイパスしてログインできる脆弱性
アドバイザリのリリース日	2021-07-29
影響するアプリ	SAML Single Sign-On (SSO) for JIRA SAML Single Sign-On (SSO) for Confluence SAML Single Sign-On (SSO) Bitbucket SAML Single Sign-On (SSO) for Bamboo SAML Single Sign-On (SSO) for Fisheye
影響する SAML SSO アプリバージョン	修正済バージョンより前のバージョンすべて
修正済の SAML SSO アプリバージョン	Jira 5.0.6 4.0.13 3.6.7 2.0.14 Confluence 5.0.6 4.0.13 3.6.7 3.5.7 2.0.14 Bitbucket 5.0.6 4.0.13 3.6.7 3.5.0.2 2.5.10 Bamboo 5.0.6 4.0.13 3.6.7 2.5.10 Fisheye 2.5.10
CVSS Score: Base Score / Temporal Score	Base 9.8 CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H Temporal 8.5 CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H/E:U/RL:O/RC:C
CVE Number	CVE-2021-37843

脆弱性の概要

このアドバイザリでは、過去のすべてのバージョンの SAML Single Sign-On (SSO) アプリに Critical (重大) な セキュリティ脆弱性があることを記載しています。
脆弱性を修正するために、アプリをアップグレードしてください。

脆弱性の説明

攻撃者が Username を知っている場合、認証をバイパスしてログインできる脆弱性があります。
このセキュリティ脆弱性は、研究者から re:solution 社への情報開示より判明しました。re:solution 社で確認している限りでは、この脆弱性は知られておらず、広く悪用されていません。
この脆弱性は非常に深刻なものであるため、悪用されるリスクを高める可能性がある詳細な情報は提供しません。まず、お客様が修正バージョンへアップグレードするのに必要な時間を設けます。
現時点では不完全な方法ですが、お客様のインスタンスでこの脆弱性が悪用されたかどうかを検出できる方法はあります。申し訳ございませんが、2021/8/12リリースの修正バージョンでも同様で、脆弱性を悪用されたか検出できる簡単な方法はございません。
脆弱性の検出方法については、ご利用製品の有効な SEN を記載の上、re:solution サポートポータルへご連絡ください。
(リックソフトでサポート付きでこのアプリをご購入されている場合は、RSヘルプデスクへお問合せください)

What You Need To Do

修正バージョン

以下の表は、どの Atlassian 製品のバージョンがどのアプリのバージョンと互換性があるかを示しています。
※ 例えば、Bamboo ver.6.0.0 で SAML SSO アプリ ver.2.5.5 をご利用の場合は、 ver.2.5.9 か ver.3.6.6 へバージョンアップします。

Atlassian 製品	Atlassian 製品バージョン	SAML SSO アプリバージョン

Atlassian 製品	Atlassian 製品バージョン	SAML SSO アプリバージョン
Jira	7.0.4 - 7.9.2	2.0.14
	7.3.0 - 8.14.1	3.6.7
	7.13.0 - 8.17.0	4.0.13
	8.3.0 - 8.18.1	5.0.6
Confluence	5.10.0 - 6.8.5	2.0.14
	6.3.0 - 7.5.2	3.5.7
	6.8.0 - 7.8.3	3.6.7
	6.13.0 - 7.12.3	4.0.13
	7.0.1 - 7.12.3	5.0.6
Bitbucket	5.5.0 - 6.10.2	2.5.10
	5.12.4 - 7.15.0	3.6.7
	6.0.0 - 7.15.0	4.0.13
	6.4.0 - 7.15.0	5.0.6
Bamboo	5.12.0.2 - 6.10.6	2.5.10
	6.6.0 - 7.1.4	3.6.7
	6.8.0 - 7.2.5	4.0.13
	6.10.2 - 7.2.5	5.0.6
Fisheye/Crucible	4.2.0 - 4.8.7	2.5.10

SAML SSO アプリは、メジャーバージョン (バージョンの一つ目の数字) が変わると、アプリの設定画面等、UI が大きく変わります。
バージョンアップ検証の時間が取れない場合は、メジャーバージョンは変えずにバージョンアップすることをお勧めします。
例：Jira ver. 8.17.0 で SAML SSO アプリ ver.4.0.8 をご利用の場合は、ver.5.0.6 ではなく、ver.4.0.13 へバージョンアップします

SAML Single Sign-On アプリは、以下リンクから入手できます。

あなたがすべきこと

SAML SSO アプリを最新のバージョンへバージョンアップしてください。アプリのアップデート手順については、Atlassian ドキュメントのアプリの更新をご参照ください。
アプリをバージョンアップできない場合は、この脆弱性を解消する唯一の方法は、アプリを無効にすることです。この方法を実施しますと、すべてのユーザーの Single Sign-On 機能が失われることに注意してください。
インターネットから製品へのアクセスを、内部 VPN もしくは同等のプライベートネットワークを使用して、既知のユーザーのみに限定することで、影響を軽減できる可能性はあります。ただし、そのためには、この脆弱性を悪用しないようにユーザーを信頼する必要があります。

現在 Atlassian でサポートしている製品バージョン (Jira、Confluence、Bitbucket、Bamboo、Fisheye/Crucible) で修正プログラムが利用できます。
提供しているバージョンのいずれかで動作しない、サポートされていない Atlassian 製品用の修正アプリバージョンが必要な場合は、re:solution サポートポータルへご連絡ください。 (リックソフトでサポート付きでこのアプリをご購入されている場合は、RSヘルプデスクへお問合せください)