• ひとことでAtlassian の Confluence で、ログインなしに初期化され管理者を作られる弱点です。
  • 深刻度9.8 緊急CVSS v3.1
  • まずやることConfluence を修正版に更新する

何をすればいいかを詳しく読む

基本情報（データから表示）

CVE番号CVE-2023-22518
製品Atlassian Confluence Data Center and Server
深刻度（CVSS）9.8 緊急CVSS v3.1
NVD による評価
詳細（ベクター）CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
KEVへの追加日2023-11-07
米国政府機関の対応期限2023-11-28
ランサムウェアでの悪用悪用が確認されている
弱点の種類（CWE）CWE-863（誤った認可）

何が起きた

Atlassian の Confluence Data Center and Server に、権限の確認が正しく行われない弱点が見つかりました。ログインしていない攻撃者が、ネットワーク経由で Confluence を初期化し、管理者アカウントを作れてしまいます。そのアカウントで管理者ができるすべての操作が可能になり、大きなデータの損失につながります。実際の悪用が確認されており、ランサムウェアでの悪用も知られています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

攻撃の流れ: 1. 攻撃者が外から届く Confluence を探す → 2. ログインせずに Confluence を初期化する → 3. 攻撃者用の管理者アカウントを作る → 4. 管理者の権限でデータを壊すなどする1攻撃者が外から届く Confluence を探す2ログインせずに Confluence を初期化する3攻撃者用の管理者アカウントを作る4管理者の権限でデータを壊すなどする攻撃の流れ: 1. 攻撃者が外から届く Confluence を探す → 2. ログインせずに Confluence を初期化する → 3. 攻撃者用の管理者アカウントを作る → 4. 管理者の権限でデータを壊すなどする1攻撃者が外から届く Confluence を探す2ログインせずに Confluence を初期化する3攻撃者用の管理者アカウントを作る4管理者の権限でデータを壊すなどする攻撃の流れ: 1. 攻撃者が外から届く Confluence を探す → 2. ログインせずに Confluence を初期化する → 3. 攻撃者用の管理者アカウントを作る → 4. 管理者の権限でデータを壊すなどする1攻撃者が外から届く Confluence を探す2ログインせずに Confluence を初期化する3攻撃者用の管理者アカウントを作る4管理者の権限でデータを壊すなどする

誰が影響を受ける

自社のサーバーで Confluence Data Center and Server を動かしている組織が対象で、NVD によると修正前のすべてのバージョンが影響を受けます。atlassian.net のアドレスで使う Atlassian Cloud は影響を受けません。

何をすればいい

Atlassian は、修正版の 7.19.16、8.3.4、8.4.4、8.5.3、8.6.1（または最新版）に更新するよう案内しています。すぐに更新できない場合は、まずバックアップを取り、更新するまでインターネットから切り離してください。切り離しも更新もできない場合は、/json/setup-restore.action、/json/setup-restore-local.action、/json/setup-restore-progress.action への接続を止めることが一時的な対策として示されています。詳しくは Atlassian の公式の案内を確認してください。

やることチェックリスト

  • Confluence を修正版に更新する
  • すぐ更新できなければバックアップを取る
  • 更新までインターネットから切り離す

用語メモ

ランサムウェア 用語集で見る
データを暗号化して使えなくし、元に戻すことと引き換えにお金を要求する不正なプログラムです。
管理者アカウント
システムの設定や利用者の管理など、すべての操作ができる強い権限を持つアカウントです。
バックアップ 用語集で見る
データが壊れたり消えたりしたときに備えて、別の場所に保存しておく複製です。

次に読む

同じ製品・メーカーの脆弱性Atlassian Confluence Data Center and Server（CVE-2023-22527）9.8 緊急CVSS v3.1Atlassian Confluence で、ログインなしに外から命令を実行される弱点です。同じ製品・メーカーの脆弱性Atlassian Confluence Data Center and Server（CVE-2023-22515）9.8 緊急CVSS v3.1Confluence の自社運用版で、管理者アカウントを不正に作られる弱点です。基本の解説ランサムウェアとはデータを暗号化して身代金を求める不正プログラムと対策

最新の脆弱性の一覧に戻る ・ これまでの記事をすべて見る

公式情報と元データ

公式情報

元データ（英語・CISA KEV より）を開く

Atlassian Confluence Data Center and Server Improper Authorization Vulnerability

概要

Atlassian Confluence Data Center and Server contain an improper authorization vulnerability that can result in significant data loss when exploited by an unauthenticated attacker. There is no impact on confidentiality since the attacker cannot exfiltrate any data.

推奨対応

Apply mitigations per vendor instructions or discontinue use of the product if mitigations are unavailable.

この元データの出どころ: CISA KEV カタログで見る