Atlassian Confluence の深刻な脆弱性６件が FIX：ただちにアップデートを！

Atlassian Fixed Six High-Severity Bugs In Confluence Data Center And Server

2024/06/20 SecurityAffairs — Atlassian は 2024年6月の Security Bulletin で、Confluence／Crucible／Jira に組内する９件の深刻度の高い脆弱性に対処した。今回のアップデートで修正された最も深刻な脆弱性は、Confluence Data Center／Server の org.springframework.security:spring-security-core 依存関係における不適切な認可の欠陥である。この脆弱性 CVE-2024-22257 の CVSS スコアは 8.2 となっている。


さらに、Confluence Data Center／Server のアップデートは、３件の SSRF (Server-Side Request Forgery) の脆弱性 CVE-2024-22243／CVE-2024-22262／CVE-2024-22259 および、２件の DDoS の脆弱性 CVE-2024-29133／CVE-2024-29131 にも対応している。

以下は、それらの解決された脆弱性のリストである：

Released Security Vulnerabilities
Product & Release NotesAffected VersionsFixed VersionVulnerability SummaryCVE IDCVSS Severity
Confluence Data Center and Server8.9.0 to 8.9.28.8.0 to 8.8.18.7.1 to 8.7.28.6.0 to 8.6.28.5.0 to 8.5.10 (LTS)8.4.0 to 8.4.58.3.0 to 8.3.48.2.0 to 8.2.38.1.0 to 8.1.48.0.0 to 8.0.47.20.0 to 7.20.37.19.0 to 7.19.23 (LTS)8.9.3 Data Center Only8.5.11 (LTS) recommended7.19.24 (LTS)Improper Authorization org.springframework.security:spring-security-core Dependency in Confluence Data Center and ServerCVE-2024-222578.2 High
SSRF (Server-Side Request Forgery) org.springframework:spring-web Dependency in Confluence Data Center and ServerCVE-2024-222438.1 High
SSRF (Server-Side Request Forgery) org.springframework:spring-web Dependency in Confluence Data Center and ServerCVE-2024-222628.1 High
SSRF (Server-Side Request Forgery) org.springframework:spring-web Dependency in Confluence Data Center and ServerCVE-2024-222598.1 High
DoS (Denial of Service) org.apache.commons:commons-configuration2 Dependency in Confluence Data Center and ServerCVE-2024-291337.5 High
DoS (Denial of Service) org.apache.commons:commons-configuration2 Dependency in Confluence Data Center and ServerCVE-2024-291317.5 High

すでに Atlassian は、Confluence Data Center／Server バージョン 8.9.3／8.5.11 (LTS)／7.19.24 (LTS) で、一連の脆弱性に対処している。さらに同社は、バージョン 4.8.15 のリリースにより、Fisheye／Crucible の DDoS の脆弱性 CVE-2022-25647 も修正している。

なお、Atlassian は、Jira Data Center／Server の脆弱性 CVE-2024-21685 も修正している。

Jira Data Center and Server9.12.0 to 9.12.7 (LTS)9.4.0 to 9.4.20 (LTS)9.16.0 to 9.16.1 Data Center Only9.12.8 to 9.12.10 (LTS) recommended9.4.21 to 9.4.23 (LTS)Information Disclosure in Jira Core Data CenterCVE-2024-216857.4 High
Jira Service Management Data Center and Server5.15.25.12.0 to 5.12.7 (LTS)5.4.0 to 5.4.20 (LTS)5.16.0 to 5.16.1 Data Center Only5.12.8 to 5.12.10 (LTS) recommended5.4.21 to 5.4.23 (LTS)Information Disclosure in Jira Service Management Data Center and ServerCVE-2024-216857.4 High


Atlassian のコメントによると、2024年6月のセキュリティ・アドバイザリで修正された脆弱性については、それらを悪用する攻撃は発生していないとのことだ。

Atlassian Confluence に９件の深刻な脆弱性が発生しました。いつも言われることですが、このプロダクトは、脅威アクターたちの標的にされやすいことで有名です。ご利用のチームには、速やかな対応が推奨されます。よろしければ、Atlassian Confluence で検索も、ご利用ください。