C21/100
脆弱性 · 中
JetBrains YouTrackにクロスサイトスクリプティングの脆弱性
ティアC · 経過を注視 – 影響を受けるか確認
影響を受ける人： YouTrackを利用する組織の開発者とそのシステム
ティアCの理由： 開発者に影響
影響範囲
攻撃
被害
修正
人気ツール
要点
- JetBrains s.r.o.が提供するYouTrackにクロスサイトスクリプティングの脆弱性が存在することがJVNで公表された
- 情報源には影響を受けるバージョン、CVE番号、CVSS値、深刻度、修正版の有無が記載されていない
- 攻撃の悪用状況についての記述もない
なぜ重要か
YouTrackを社内やチームで運用している開発者は、自組織のインスタンスが影響を受けるかどうかを公式情報で確認する必要がある。情報源だけでは対象バージョンと修正状況が判断できない。
ティアの根拠となったチェックリスト
チェックリスト · 10項目中2項目が「はい」
| はい | 開発者に影響 | 開発チームがイシュー管理に使うYouTrackのため、開発現場に影響する。 |
| いいえ | 基幹インフラ | 影響するのは単一ベンダーJetBrainsの製品であり、基幹インフラには当たらない。 |
| はい | 人気ツール | 開発チームで広く使われるイシュー管理ツールであり、一般的な開発ツールに当たる。 |
| いいえ | 悪用確認済み | jvn.jp: 脆弱性の存在のみを報じており、悪用された事例の記載はない。 |
| いいえ | 公開エクスプロイト | jvn.jp: 脆弱性情報のみで、エクスプロイトや概念実証の公開は記載されていない。 |
| いいえ | 認証不要のリモート攻撃 | jvn.jp: 攻撃条件や認証の要否は記載されていない。 |
| いいえ | 完全な乗っ取り | jvn.jp: クロスサイトスクリプティングであると記載され、コード実行や権限奪取は述べられていない。 |
| いいえ | シークレットの流出 | jvn.jp: 情報漏えいや認証情報の露出については記載されていない。 |
| いいえ | サプライチェーン | jvn.jp: 配布経路の侵害や悪意あるパッケージに関する記載はない。 |
| いいえ | 修正なし | jvn.jp: 修正版の提供状況は記載されていない。 |
タイムライン
JVNで脆弱性情報が公表される
jvn.jp
JetBrains製YouTrackにおけるクロスサイトスクリプティングの脆弱性
出典
JetBrains製YouTrackにおけるクロスサイトスクリプティングの脆弱性 ↗ jvn.jp · 49分前