Jira の脆弱性 CVE-2025-22167 が FIX：Jira JVM プロセスからの不正なファイル・アクセス

Jira Vulnerability Lets Attackers Alter Files Accessible to the Jira JVM Process

2025/10/23 gbhackers — Atlassian が公開したのは、Jira Software Data Center／Server に影響を与える深刻なパス・トラバーサル脆弱性である。この脆弱性を悪用する認証済みの攻撃者は、Jira Java 仮想マシン (JVM) プロセスからアクセス可能なファイルを変更できてしまう。この脆弱性 CVE-2025-22167 (CVSS：8.7) は、2025年9月以降にリリースされた複数ブランチの各バージョンに影響を及ぼす。

この脆弱性を悪用する認証済みの攻撃者が、Jira プラットフォームのパス・トラバーサルの脆弱性を介して、Jira JVM プロセスがアクセス権限を持つ任意の場所に任意のファイルを書き込むことで、システムの整合性が損なわれるという。

つまり、それぞれのデプロイメント環境における JVM プロセスの権限に応じて、重要なシステム・ファイル／コンフィグ・ファイル／アプリケーション・データなどが不正に変更される可能性が生じる。

CVE IDCVE-2025-22167
ProductJira Software Data Center and Server
Vulnerability TypePath Traversal (Arbitrary Write)
CVSS v3.1 Score8.7 (High)
影響を受けるバージョンとタイムライン

この脆弱性が確認されたのは、Jira Software バージョン 9.12.0 である。しかし、影響を受けるバージョンは 9.12.0〜9.12.27／10.3.0〜10.3.11／11.0.0〜11.0.1 にいたるまでの、複数のリリース・ブランチにまたがることが判明している。

すでに Atlassian は、この脆弱性が社内で発見されたことを報告し、問題を修正するパッチをリリースしている。脆弱なバージョンを利用している組織にとって必要なことは、このアップグレードを優先して脅威に対処することである。

Jira Software Data Center／Server の全ユーザーに対して、Atlassian が強く推奨するのは、最新バージョンへの速やかなアップグレードである。

なお Atlassian は、最新リリースの迅速な導入が不可能な組織向けの、現行バージョン・ブランチに基づく具体的なアップグレード・パスを提供している。

  • Jira Software バージョン 9.12 を利用しているユーザーは、バージョン 9.12.28 以降にアップグレードする。
  • 10.3 ブランチを利用している顧客は、バージョン 10.3.12 以降にアップグレードする。
  • バージョン 11.0 を利用している顧客は、バージョン 11.1.0 以降にアップグレードする。

この脆弱性は、任意の書き込み権限を持つパス・トラバーサル攻撃に分類され、マルチテナント環境や共有環境では特に危険である。

CVSS v4.0 ベクターは以下のとおりである：(AV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N)

この脆弱性の悪用にはネットワーク・アクセスと有効な認証が必要となるが、脆弱なシステムには深刻な機密性／整合性／可用性リスクが生じる。

この脆弱性は Jira Software の Data Center／Server 環境に影響を及ぼすため、プロジェクト管理や課題追跡において、それらのプラットフォームを利用している企業にとって深刻な懸念事項となる。

この脆弱性の原因は、Jira のファイル操作処理におけるパス検証の不備にあるようです。認証済みのユーザーであっても、JVM がアクセス可能な領域へ任意のファイルを書き込めてしまう点が問題です。つまり、Jira プロセスの権限範囲次第で、コンフィグ・ファイルや重要データが改竄されるリスクが生じます。影響の範囲が複数バージョンにわたり、意図せず危険なコンフィグが維持されてしまう可能性もあります。ご利用のチームは、ご注意ください。よろしければ、Jira で検索を、ご参照ください。