各位

JPCERT-AT-2022-0015
JPCERT/CC
2022-06-03（新規）
2022-06-06（更新）

JPCERT/CC Alert 2022-06-03

Confluence ServerおよびData Centerの脆弱性（CVE-2022-26134）に関する注意喚起

https://www.jpcert.or.jp/at/2022/at220015.html


I. 概要2022年6月2日（現地時間）、AtlassianはConfluence ServerおよびDataCenterの脆弱性（CVE-2022-26134）に関するセキュリティアドバイザリを公開しました。本脆弱性を悪用することで、認証されていない遠隔の第三者が任意のコードを実行する可能性があります。脆弱性の詳細や最新の対策情報などについては、Atlassianの情報を確認してください。

Atlassian
Confluence Server and Data Center - CVE-2022-26134 - Critical severity unauthenticated remote code execution vulnerability
https://confluence.atlassian.com/doc/confluence-security-advisory-2022-06-02-1130377146.html

Atlassianは、本脆弱性を悪用する攻撃を確認しています。影響を受ける製品を利用している場合、Atlassianなどから公開される関連情報を注視の上、対策や回避策の適用を速やかに検討いただくことを推奨します。

** 更新: 2022年6月6日追記 ****************
アトラシアン株式会社
Confluence Server および Data Center - CVE-2022-26134 -未認証のリモート コード実行についての重大な深刻度の脆弱性
https://ja.confluence.atlassian.com/doc/confluence-security-advisory-2022-06-02-1130377146.html
**************************************************


II. 対象対象となる製品は次のとおりです。影響を受けるバージョンなどの最新の情報についてはAtlassianからの情報をご確認ください。

Confluence
- Confluence Server
- Confluence Data Center


III. 対策2022年6月3日現在、Atlassianから本脆弱性を修正したバージョンは公開されていません。Atlassianからの情報を注視の上、対策バージョンが公開され次第、速やかに適用を検討いただくことを推奨します。

** 更新: 2022年6月6日追記 ****************
2022年6月3日（現地時間）、Atlassianから本脆弱性を修正したバージョンが公開されました。Atlassianの情報を参考に対策バージョンを適用することを推奨します。
**************************************************


IV. 回避策対策バージョンが公開されるまでの暫定策として、Atlassianから次の対応の実施が推奨されています。

- Confluence ServerおよびConfluence Data Centerへのインターネットからの接続を制限する
- Confluence ServerおよびConfluence Data Centerを一時的に無効にする

** 更新: 2022年6月6日追記 ****************
2022年6月3日（現地時間）、Atlassianから本脆弱性の軽減策として、jarやclassファイルを置き換える方法が紹介されています。対策をすぐに適用できない場合の回避策として参考にしてください。
**************************************************


V. 参考情報
Volexity
Zero-Day Exploitation of Atlassian Confluence
https://www.volexity.com/blog/2022/06/02/zero-day-exploitation-of-atlassian-confluence/

Atlassian
アトラシアン サポート終了 (EOL) ポリシー
https://ja.confluence.atlassian.com/support/atlassian-support-end-of-life-policy-201851003.html


今回の件につきまして提供いただける情報がございましたら、JPCERT/CCまでご連絡ください。

________
改訂履歴
2022-06-03 初版
2022-06-06 「I. 概要」「III. 対策、対応」「IV. 回避策」の追記

==============================
一般社団法人JPCERTコーディネーションセンター（JPCERT/CC）
早期警戒グループ
Email：ew-info@jpcert.or.jp