Atlassian Confluence Server and Data Center のパストラバーサルの脆弱性（CVE-2019-3398）

何が起きた

情報共有ツール Atlassian Confluence Server と Data Center の downloadallattachments という機能に、決められたフォルダーの外へ出られてしまう弱点（パストラバーサル）が見つかりました。ページに添付ファイルを追加できる権限などを持つ攻撃者が、任意の（攻撃者が好きに選べる）場所にファイルを書き込め、リモートコード実行につながるおそれがあります。NVD の評価では、一般利用者程度の権限を持つ攻撃者がネットワーク経由で悪用できます。CISA は、この弱点が実際に悪用されたことを確認しています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

Confluence Server と Data Center を運用している組織が対象です。NVD の説明では、2.0.0 から 6.6.13 より前、6.7.0 から 6.12.4 より前、6.13.0 から 6.13.4 より前、6.14.0 から 6.14.3 より前、6.15.0 から 6.15.2 より前が影響を受けます。

何をすればいい

使っている系列に合わせて、6.6.13、6.12.4、6.13.4、6.14.3、6.15.2 のいずれか以降に更新されているか確認してください。Atlassian の勧告では最新版（6.15.2）への更新をすすめています。すぐに更新できない場合の一時的な回避策として、勧告は pages/downloadallattachments.action というアドレスへのアクセスを止めることを挙げています（添付ファイルの一括ダウンロードができなくなります）。なお、Atlassian の課題ページの修正版の欄には 6.10.3 も載っていますが、勧告と NVD の説明では 6.7.0 から 6.12.4 より前はすべて影響を受けるとされています。あわせて Atlassian の公式の案内を確認してください。

やることチェックリスト

• Confluence の版を確認する
• 6.6.13 や 6.15.2 など修正版以降に更新する
• すぐ更新できなければ一括ダウンロードのURLを止める

用語メモ

パストラバーサル

ファイルの場所を指す文字を細工して、本来は入れないフォルダーのファイルを読み書きする攻撃です。

リモートコード実行

離れた場所から、攻撃者が選んだプログラムを相手の機器で動かせてしまうことです。