CVE-2024-21683: Atlassian Patches RCE Flaw in Confluence Data Center and Server
2024/05/21 SecurityOnline — Atlassian の Confluence Data Center／Server 製品に存在する、リモートコード実行 (RCE) の脆弱性に対する緊急アップデートが提供された。この、コラボレーション／プロダクティビティのリーディング・プロバイダーで発生した 脆弱性 CVE-2024-21683 は、認証済みの攻撃者によるシステムを制御を可能にし、データ漏洩や業務妨害につながる可能性が生じるという。
Confluence バージョン 5.2 で発生した、この脆弱性 CVE-2024-21683 (CVSS：8.3) が極めて危険なのは、ユーザーの操作を必要とせずに悪用される可能性があるためである。この脆弱性の悪用に成功した攻撃者は、高レベルの特権で任意のコード実行を可能とし、Confluence インスタンスの機密性／完全性／可用性を容易に破壊する。
すでに Atlassian は、Confluence の各種バージョンに対して、セキュリティ・アップデートをリリースし、パッチを適用した最新バージョンへと直ちにアップグレードするよう強く促している。さらに同社は、多様なユーザーのリスクを軽減するための、特定のバージョンに対する代替修正プログラムも提供している。
今回の Atlassian の最新アップデートには、CVE-2024-21683 への対応に加えて、Confluence／Bamboo／Bitbucket／Crowd／Jira／Jira Service Management などの製品に存在する 36件の脆弱性に対処している。このうちの２件は Critical と評価され、残りの 35件は High に分類されている。なお、製品間での重複を除くと、32件の CVE ベースの脆弱性が存在することになる。
なお、Critical な脆弱性としては、PostgreSQL JDBC ドライバに存在する、SQL インジェクションの脆弱性 CVE-2024-1597 が含まれる。この脆弱性は、Confluence／Jira に影響を及ぼすとされる。
Confluence Data Center／Server を使用している組織にとって必要なことは、リモートコード実行などの脅威のリスクを軽減するために、推奨バージョンへと速やかにアップグレードすることだ。詳細情報およびパッチのダウンロードについては、Atlassian の公式アドバイザリ・ページを参照してほしい。
最近の Atlassian の脆弱性というと、2024/04/17 の「Atlassian の脆弱性 CVE-2023-22518：Linux 版 Cerber ランサムウェアの配布に悪用されている」となっています。お隣のキュレーション・チームに聞いてみたところ、2023年11月に何度かレポートを上げている脆弱性とのことでした。今回の脆弱性 CVE-2024-21683 は、発見されたばかりのものですが、放置してしまうと、CVE-2023-22518 のように、数カ月も経た後に悪用されることもあり得ます。ご利用のチームは、ご注意ください。よろしければ、Atlassian で検索も、ご利用ください。
IoT OT Security News 
You must be logged in to post a comment.