Atlassian Confluence Server and Data Server の脆弱性（CVE-2019-3396）

何が起きた

Atlassian Confluence Server と Data Center の Widget Connector マクロ（外部の動画などをページに埋め込む機能）に、サーバー側のテンプレートに命令を埋め込める弱点（サーバーサイドテンプレートインジェクション）が見つかりました。これにより、決められたフォルダーの外のファイルに触れたり（パストラバーサル）、リモートコード実行をされたりするおそれがあります。NVD の評価では、ログインしていない攻撃者がネットワーク経由で悪用できます。CISA は実際の悪用を確認しており、ランサムウェアの攻撃にも使われたとしています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

Confluence Server と Data Center を運用している組織が対象です。NVD の説明では、6.6.12 より前、6.7.0 から 6.12.3 より前、6.13.0 から 6.13.3 より前、6.14.0 から 6.14.2 より前が影響を受けます。

何をすればいい

使っている系列に合わせて、6.6.12、6.12.3、6.13.3、6.14.2 のいずれか以降に更新されているか確認してください。Atlassian の勧告では最新版（6.15.1）への更新をすすめています。すぐに更新できない場合の一時的な回避策として、勧告は管理画面の「アプリ（アドオン）の管理」で、システムのプラグイン Widget Connector を無効にすることを挙げています（Widget Connector マクロは使えなくなります）。なお、Atlassian の課題ページの修正版の欄には 6.10.3 も載っていますが、勧告では 6.10 系はすべて影響を受けるとされています。あわせて Atlassian の公式の案内を確認してください。

やることチェックリスト

• Confluence の版を確認する
• 6.6.12 や 6.14.2 など修正版以降に更新する
• すぐ更新できなければ Widget Connector を無効にする

用語メモ

マクロ

Confluence のページに部品として入れて、決まった働きをさせる機能です。

サーバーサイドテンプレートインジェクション

画面を作るためのひな形（テンプレート）に攻撃者の命令を紛れ込ませ、サーバー側で実行させる攻撃です。

パストラバーサル

ファイルの場所を指す文字を細工して、本来は入れないフォルダーのファイルを読み書きする攻撃です。

ランサムウェア

データを使えない状態にして、元に戻すことと引き換えにお金を要求する悪いプログラムです。

プラグイン

ソフトに後から機能を足すための追加部品です。