各位

JPCERT-AT-2021-0037
JPCERT/CC
2021-09-02（新規）
2021-09-07（更新）

JPCERT/CC Alert 2021-09-02

Confluence ServerおよびData Centerの脆弱性（CVE-2021-26084）に関する注意喚起

https://www.jpcert.or.jp/at/2021/at210037.html


I. 概要2021年8月25日（現地時間）、Atlassianは、Confluence ServerおよびDataCenterの脆弱性（CVE-2021-26084）に関するセキュリティアドバイザリを公開しました。アドバイザリによると、Confluence ServerおよびData Centerには、OGNLインジェクションの脆弱性があります。本脆弱性を悪用することで、認証されていない遠隔の第三者が任意のコードを実行する可能性があります。脆弱性の詳細については、Atlassianの情報を確認してください。

Atlassian
Confluence Security Advisory - 2021-08-25
https://confluence.atlassian.com/doc/confluence-security-advisory-2021-08-25-1077906215.html

2021年9月2日（日本時間）、JPCERT/CCは、本脆弱性の詳細を解説する記事や、脆弱性を悪用するとみられる実証コードが公開されていることを確認しています。当該製品を利用している場合には、バージョンアップや回避策の適用などの対応実施を検討することを推奨します。

** 更新: 2021年9月7日追記 ****************
JPCERT/CCは、国内にて本脆弱性を探索する通信を確認しています。また、本脆弱性を悪用して暗号資産の採掘を行うマルウェアを設置するなどの攻撃活動に関する情報が公開されています。早期の対策や対応実施の検討を推奨します。

また、Atlassianは日本語版のアドバイザリも公開しているため、こちらもご参照ください。

Atlassian
Confluence セキュリティ勧告 - 2021-08-25
https://ja.confluence.atlassian.com/doc/confluence-security-advisory-2021-08-25-1077906215.html
**************************************************


II. 対象対象となる製品とバージョンは次のとおりです。

- Confluence ServerおよびData Center 7.12.5より前の7.12系のバージョン
- Confluence ServerおよびData Center 7.11.6より前の7.11系のバージョン
- Confluence ServerおよびData Center 7.10系のバージョン
- Confluence ServerおよびData Center 7.9系のバージョン
- Confluence ServerおよびData Center 7.8系のバージョン
- Confluence ServerおよびData Center 7.7系のバージョン
- Confluence ServerおよびData Center 7.6系のバージョン
- Confluence ServerおよびData Center 7.5系のバージョン
- Confluence ServerおよびData Center 7.4.11より前の7.4系のバージョン
- Confluence ServerおよびData Center 7.3系のバージョン
- Confluence ServerおよびData Center 7.2系のバージョン
- Confluence ServerおよびData Center 7.1系のバージョン
- Confluence ServerおよびData Center 7.0系のバージョン
- Confluence ServerおよびData Center 6.15系のバージョン
- Confluence ServerおよびData Center 6.14系のバージョン
- Confluence ServerおよびData Center 6.13.23より前の6.13系のバージョン

なお、すでにサポートが終了しているConfluence ServerおよびData Center6.13系以前のバージョンも本脆弱性の影響を受けるとのことです。また、Confluence Cloudは本脆弱性の影響を受けないとのことです。


III. 対策Atlassianから本脆弱性を修正したバージョンが公開されています。十分なテストを実施の上、修正済みバージョンを適用することをお勧めします。

- Confluence ServerおよびData Center 7.13.0
- Confluence ServerおよびData Center 7.12.5
- Confluence ServerおよびData Center 7.11.6
- Confluence ServerおよびData Center 7.4.11
- Confluence ServerおよびData Center 6.13.23


IV. 回避策Confluence ServerおよびData Centerに修正済みバージョンを適用することが難しい場合、一時的な回避策として、脆弱性の影響を軽減するためのスクリプトがAtlassianから提供されています。詳細は、Atlassianの情報を確認してください。


V. 参考情報
Atlassian
Confluence Security Advisory - 2021-08-25
https://confluence.atlassian.com/doc/confluence-security-advisory-2021-08-25-1077906215.html

Atlassian
Atlassian Support End of Life Policy
https://confluence.atlassian.com/support/atlassian-support-end-of-life-policy-201851003.html


今回の件につきまして提供いただける情報がございましたら、JPCERT/CCまでご連絡ください。

________
改訂履歴
2021-09-02 初版
2021-09-07 「I. 概要」の更新

==============================
一般社団法人JPCERTコーディネーションセンター（JPCERT/CC）
早期警戒グループ
Email：ew-info@jpcert.or.jp