• ひとことでConfluence の自社運用版で、管理者アカウントを不正に作られる弱点です。
  • 深刻度9.8 緊急CVSS v3.1
  • まずやること8.3.3、8.4.3、8.5.2 以降の修正版に更新する

何をすればいいかを詳しく読む

基本情報（データから表示）

CVE番号CVE-2023-22515
製品Atlassian Confluence Data Center and Server
深刻度（CVSS）9.8 緊急CVSS v3.1
NVD による評価
詳細（ベクター）CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
KEVへの追加日2023-10-05
米国政府機関の対応期限2023-10-13
ランサムウェアでの悪用悪用が確認されている
弱点の種類（CWE）不明

何が起きた

Atlassian の Confluence Data Center と Server に、アクセスの制限が正しく働かない弱点が見つかり、実際に悪用が確認されています。攻撃者はネットワーク経由で、ログインなしに、利用者の操作も必要とせずに悪用できると評価されています。外部の攻撃者が、インターネットから見える Confluence に不正な管理者アカウントを作り、中に入り込んだ事例が報告されています。ランサムウェア攻撃での悪用も確認されています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

攻撃の流れ: 1. 攻撃者が公開中の Confluence に接続する → 2. アクセス制限の不備を突く → 3. 不正な管理者アカウントを作る → 4. 管理者として Confluence に入り込む1攻撃者が公開中の Confluence に接続する2アクセス制限の不備を突く3不正な管理者アカウントを作る4管理者として Confluence に入り込む攻撃の流れ: 1. 攻撃者が公開中の Confluence に接続する → 2. アクセス制限の不備を突く → 3. 不正な管理者アカウントを作る → 4. 管理者として Confluence に入り込む1攻撃者が公開中の Confluence に接続する2アクセス制限の不備を突く3不正な管理者アカウントを作る4管理者として Confluence に入り込む攻撃の流れ: 1. 攻撃者が公開中の Confluence に接続する → 2. アクセス制限の不備を突く → 3. 不正な管理者アカウントを作る → 4. 管理者として Confluence に入り込む1攻撃者が公開中の Confluence に接続する2アクセス制限の不備を突く3不正な管理者アカウントを作る4管理者として Confluence に入り込む

誰が影響を受ける

自社で Confluence Data Center または Confluence Server を運用している組織が対象です。Atlassian によると、8.0.0 から 8.5.1 までの各版が影響を受け、8.0.0 より前の版は影響を受けません。atlassian.net のアドレスで使う Atlassian Cloud は影響を受けません。

何をすればいい

Atlassian の公式の案内に従い、8.3.3 以降、8.4.3 以降、または 8.5.2 以降の修正版に更新してください。すぐに更新できない場合は、外部のネットワークからの接続を制限するか、/setup/ で始まるページへのアクセスを止める一時的な対策が案内されています。あわせて、confluence-administrators グループに見覚えのないメンバーがいないか、見覚えのない新しいアカウントやプラグインがないかなど、侵入の痕跡を調べてください。

やることチェックリスト

  • 8.3.3、8.4.3、8.5.2 以降の修正版に更新する
  • 更新まで外部からの接続を制限する
  • 見覚えのない管理者やアカウントがないか確認する

用語メモ

管理者アカウント
システムの設定を変えたり、利用者を管理したりできる強い権限を持ったアカウントです。
プラグイン 用語集で見る
ソフトウェアにあとから機能を追加するための部品です。
ランサムウェア 用語集で見る
データを暗号化して使えなくし、元に戻す代わりに身代金を要求する不正なプログラムです。

次に読む

同じ製品・メーカーの脆弱性Atlassian Confluence Data Center and Server（CVE-2023-22527）9.8 緊急CVSS v3.1Atlassian Confluence で、ログインなしに外から命令を実行される弱点です。同じ製品・メーカーの脆弱性Atlassian Confluence Data Center and Server（CVE-2023-22518）9.8 緊急CVSS v3.1Atlassian の Confluence で、ログインなしに初期化され管理者を作られる弱点です。基本の解説ランサムウェアとはデータを暗号化して身代金を求める不正プログラムと対策

最新の脆弱性の一覧に戻る ・ これまでの記事をすべて見る

公式情報と元データ

公式情報

元データ（英語・CISA KEV より）を開く

Atlassian Confluence Data Center and Server Broken Access Control Vulnerability

概要

Atlassian Confluence Data Center and Server contains a broken access control vulnerability that allows an attacker to create unauthorized Confluence administrator accounts and access Confluence.

推奨対応

Apply mitigations per vendor instructions or discontinue use of the product if mitigations are unavailable. Check all affected Confluence instances for evidence of compromise per vendor instructions and report any positive findings to CISA.

この元データの出どころ: CISA KEV カタログで見る