Confluence ServerおよびData Centerの脆弱性（CVE-2022-26134）に関する注意喚起

JPCERT-AT-2022-0015
JPCERT/CC
2022-06-03（新規）
2022-06-06（更新）

I. 概要

2022年6月2日（現地時間）、AtlassianはConfluence ServerおよびData Centerの脆弱性（CVE-2022-26134）に関するセキュリティアドバイザリを公開しました。本脆弱性を悪用することで、認証されていない遠隔の第三者が任意のコードを実行する可能性があります。脆弱性の詳細や最新の対策情報などについては、Atlassianの情報を確認してください。

Atlassian
Confluence Server and Data Center - CVE-2022-26134 - Critical severity unauthenticated remote code execution vulnerability
https://confluence.atlassian.com/doc/confluence-security-advisory-2022-06-02-1130377146.html

Atlassianは、本脆弱性を悪用する攻撃を確認しています。影響を受ける製品を利用している場合、Atlassianなどから公開される関連情報を注視の上、対策や回避策の適用を速やかに検討いただくことを推奨します。

更新: 2022年6月6日追記

アトラシアン株式会社
Confluence Server および Data Center - CVE-2022-26134 -未認証のリモートコード実行についての重大な深刻度の脆弱性
https://ja.confluence.atlassian.com/doc/confluence-security-advisory-2022-06-02-1130377146.html

II. 対象

対象となる製品は次のとおりです。影響を受けるバージョンなどの最新の情報についてはAtlassianからの情報をご確認ください。

Confluence
- Confluence Server
- Confluence Data Center

III. 対策

2022年6月3日現在、Atlassianから本脆弱性を修正したバージョンは公開されていません。Atlassianからの情報を注視の上、対策バージョンが公開され次第、速やかに適用を検討いただくことを推奨します。

更新: 2022年6月6日追記

2022年6月3日（現地時間）、Atlassianから本脆弱性を修正したバージョンが公開されました。Atlassianの情報を参考に対策バージョンを適用することを推奨します。

IV. 回避策

対策バージョンが公開されるまでの暫定策として、Atlassianから次の対応の実施が推奨されています。

- Confluence ServerおよびConfluence Data Centerへのインターネットからの接続を制限する
- Confluence ServerおよびConfluence Data Centerを一時的に無効にする

更新: 2022年6月6日追記

2022年6月3日（現地時間）、Atlassianから本脆弱性の軽減策として、jarやclassファイルを置き換える方法が紹介されています。対策をすぐに適用できない場合の回避策として参考にしてください。

V. 参考情報

Volexity
Zero-Day Exploitation of Atlassian Confluence
https://www.volexity.com/blog/2022/06/02/zero-day-exploitation-of-atlassian-confluence/

Atlassian
アトラシアンサポート終了 (EOL) ポリシー
https://ja.confluence.atlassian.com/support/atlassian-support-end-of-life-policy-201851003.html

今回の件につきまして提供いただける情報がございましたら、JPCERT/CCまでご連絡ください。

改訂履歴

2022-06-03 初版
2022-06-06 「I. 概要」「III. 対策、対応」「IV. 回避策」の追記

一般社団法人JPCERTコーディネーションセンター（JPCERT/CC）
早期警戒グループ
Email：ew-info@jpcert.or.jp

Topへ