詳細情報

脆弱性の概要

このアドバイザリでは、 Confluence Server と Confluence Data Centerに含まれる重大な脆弱性について説明します。

ver.2.0.0以降からver. 6.6.13(ver.6.6.xの修正バージョン)より前 、ver.6.7.0から 6.12.4(ver.6.12.xの修正バージョン)より前、ver.6.13.0から 6.13.4(ver.6.13.xの修正バージョン)より前、ver.6.14.0から 6.14.3(ver.6.14.xの修正バージョン)より前、ver.6.15.0から 6.15.2(ver.6.15.xの修正バージョン)より前のバージョンのConfluence Server と Confluence Data Center が影響を受けます。

Path traversal in the downloadallattachments resource vulnerability (CVE-2019-3398) について

重大度

Atlassianでは、この脆弱性を Severity Levels for Security Issues におけるクリティカル（critical）と評価しています。この評価は、critical, high, moderate、lowの段階でランク付けします。
これはAtlassian社の評価であり、実際の影響はお客さまの環境において調査しなければなりません。

説明

Confluence Server と Confluence Data Center は、downloadallattachments （添付ファイルを全てダウンロード）のリソースに、パス・トラバーサルの脆弱性があります。
ページ・ブログに添付ファイルのアップロード、新規スペース作成・パーソナルスペース作成、またはスペース管理者の、何れかの権限を持つ外部の攻撃者は、パス・トラバーサルの脆弱性を突いて、サーバ内の任意の場所にファイルを作成できます。また、これを利用して、脆弱性があるバージョンのConfluence Server と Confluence Data Center へリモートから任意のコードを実行する可能性があります。

ver.2.0.0以降からver. 6.6.13(ver.6.6.xの修正バージョン)より前 、ver.6.7.0から 6.12.4(ver.6.12.xの修正バージョン)より前、ver.6.13.0から 6.13.4(ver.6.13.xの修正バージョン)より前、ver.6.14.0から 6.14.3(ver.6.14.xの修正バージョン)より前、ver.6.15.0から 6.15.2(ver.6.15.xの修正バージョン)より前のバージョンのConfluence Server と Confluence Data Center が影響を受けます。

この問題はこの課題で追跡できます。： https://jira.atlassian.com/browse/CONFSERVER-58102　CLOSEDCLOSED

謝辞

この脆弱性は、IT Centr のJānis Krusts により発見されました。

修正

Atlassian社はこの問題に対処するため以下の対策を施しました。

• この問題の修正を含む Confluence Server / Data Center ver.6.15.2をリリースしました。これは https://www.atlassian.com/software/confluence/download/ と https://atlassian.com/software/confluence/download/data-center からダウンロードできます。
• この問題の修正を含む Confluence Server / Data Center ver. 6.6.13, 6.12.4, 6.13.4 6.14.3 をリリースしました。これらは https://www.atlassian.com/software/confluence/download-archives からダウンロードできます。

あなたにしてほしいこと

Atlassianは、Confluence最新版 (6.15.2)へアップグレードを推奨します。Confluence Serverの最新バージョンの詳細の説明については、リリースノート をご確認ください。Confluence Serverの最新バージョンは、AtlassianのWebサイト からダウンロードできます。

最新バージョン(6.15.2)へアップグレードできない場合は:

(1) ご利用バージョンが 新しい feature release version (2018/10/4以降リリース) の場合は、 現在の feature release versionの 次の バグフィックスバージョンへアップグレードしてください。

(2) ご利用バージョンが enterprise release version (2017/4/4以降リリースのenterprise release version) の場合は、ご利用のenterprise release versionの最新版へアップグレードしてください。　

(3) 古いバージョン（2018/10/4以前のfeature release version や 2017/4/4以前のenterprise release version）をご利用の場合は、Confluence Server (Data Center)の最新バージョンか、enterprise release版の最新バージョンへアップグレードしてください。

緩和策

近々にアップグレードいただけない場合は、一時的な回避策として、下記URLを無効化していただくことが出来ます。

この回避策により、添付ファイルの一覧ページ、および添付ファイルマクロから「全てダウンロード」は使用不可となりますが、各添付ファイルの個々のダウンロードは可能です。

Tomcatで直接URLを無効化するには：

以下の手順で「全てダウンロード」を無効化いただくことが出来ます。

1. Confluence のサービスを停止します。
2. <Confluence-Install>/conf/server.xmlファイルを編集します。

3. <host> タグ内に下記を追加します。

   <Context path="/pages/downloadallattachments.action" docBase="" >     <Valapp className="org.apache.catalina.valapps.RemoteAddrValapp" deny="*" /> </Context>

   コンテキストパスを指定されている場合（例：/wiki）は、下記のようにコンテキストパスを含めてください。

   <Context path="/wiki/pages/downloadallattachments.action" docBase="" >     <Valapp className="org.apache.catalina.valapps.RemoteAddrValapp" deny="*" /> </Context>

4. <Confluence-Install>/conf/server.xmlファイルを保存して、Confluenceをサービスを再開します。

本回避策が正しく適用されていることをご確認いただくには：

下記の手順をお試しください。

1. 添付ファイルを２件以上含むページ、又はブログに遷移します。
2. 当該ページの添付ファイル一覧に遷移して、「全てダウンロード」をクリックします。

正しく適用されている場合は、404（ページが見つかりません）のエラーが表示され、ダウンロードは行われません

サポート

もしこのアドバイザリのメールが届かなく、今後メールの受け取りを希望する場合は、https://my.atlassian.com/email より Alerts emailを購読してください。