Atlassian Confluence の脆弱性（CVE-2022-26138）

何が起きた

Atlassian の Confluence Server と Data Center 向けのアプリ Questions For Confluence が、disabledsystemuser という名前で、決まったパスワード（ハードコードされたパスワード）を持つアカウントを confluence-users グループに作ってしまう問題が見つかりました。このパスワードを知っている攻撃者は、ログインしてこのグループの利用者が見られるすべての内容にアクセスできるおそれがあります。NVD の評価では、ネットワーク経由で、権限のない攻撃者でも悪用でき、利用者の操作も不要です。実際の攻撃での悪用が確認されています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

Questions For Confluence アプリの 2.7.34、2.7.35、3.0.2 を入れたことのある Confluence Server と Data Center が対象です。メーカーによると、アプリを削除してもこのアカウントは自動では消えないため、今は入れていなくても影響が残っている場合があります。

何をすればいい

メーカーの案内に従い、アプリを 2.7.x なら 2.7.38 以降、3.0.x なら 3.0.5 以降に更新してください。修正版はこのアカウントを作らなくなり、すでにあれば削除します。読み取り専用の外部ディレクトリを使っている場合などは、disabledsystemuser アカウントを無効化するか削除してください。アカウントだけを手で消した場合は、アプリの更新か削除もしてください。詳しくは公式の案内を確認してください。

やることチェックリスト

• アプリを 2.7.38 以降か 3.0.5 以降にする
• disabledsystemuser を無効化か削除する
• disabledsystemuser のログイン時刻を調べる

用語メモ

ハードコード

パスワードなどを、利用者が変えられない形でプログラムの中に直接書き込んでおくことです。

Data Center

Atlassian の製品を、大きな組織向けに自分たちのサーバーで動かす版のことです。