Atlassian Confluence Server/Data Center のリモートコード実行の脆弱性（CVE-2022-26134）

何が起きた

Atlassian の Confluence Server と Confluence Data Center に、外から送られた入力が OGNL という仕組みの式として実行されてしまう問題（OGNL インジェクション）があり、攻撃者がサーバー上で任意のコード（攻撃者が好きに選べるプログラム）を動かせる弱点が見つかりました。CISA は実際の悪用を確認しており、ランサムウェアでの悪用も確認されています。攻撃者はネットワーク経由で、ログインせずに、利用者の操作もなく悪用できます。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

Confluence Server と Confluence Data Center を自分のサーバーで動かしている組織が対象です。NVD によると、影響を受けるのは 1.3.0 以降で 7.4.17 より前、7.13.0 以上 7.13.7 未満、7.14.0 以上 7.14.3 未満、7.15.0 以上 7.15.2 未満、7.16.0 以上 7.16.4 未満、7.17.0 以上 7.17.4 未満、7.18.0 以上 7.18.1 未満の版です。一方、Atlassian の勧告は、1.3.0 より後のすべての版のうち、修正版より前のものが影響を受けるとしています。お使いの版が NVD の範囲に入っていなくても、修正版より前なら Atlassian の説明では対象になります。また Atlassian によると、atlassian.net のドメインで使う Atlassian Cloud は影響を受けません。

何をすればいい

Atlassian は修正版として 7.4.17、7.13.7、7.14.3、7.15.2、7.16.4、7.17.4、7.18.1 を出しており、最新の長期サポート版（LTS）への更新をすすめています。お使いの版がこれらの修正版以降か確認してください。すぐに更新できない場合の一時的な回避策として、版ごとに指定された jar ファイルを差し替える方法が公開されており、クラスタで動かしている場合は全てのノードで行う必要があります。CISA は、更新が済むまで対象の製品とインターネットとの通信をすべて遮断するよう求めています。あわせて Atlassian の公式の案内を確認してください。

やることチェックリスト

• Confluence を 7.18.1 などの修正版以降に更新する
• 更新までインターネットとの通信を遮断する
• すぐ更新できなければ指定の jar ファイルを差し替える

用語メモ

OGNL インジェクション

OGNL は Java のプログラムでデータを扱うための式の書き方です。外からの入力がその式として実行されてしまう弱点を OGNL インジェクションと呼びます。

ランサムウェア

データを使えなくして、元に戻す代わりにお金を要求する悪意のあるプログラムです。

クラスタ

複数のサーバー（ノード）をまとめて1つのサービスとして動かす仕組みです。