CVE-2022-26134

Atlassian Confluenceにおける事前認証不要のRCE脆弱性

CVEの概要

影響を受けるバージョンのConfluence ServerおよびData Centerでは、OGNLインジェクションの脆弱性が存在し、認証されていない攻撃者がConfluence ServerまたはData Centerインスタンス上で任意のコードを実行できる可能性があります。

影響を受けるバージョン

• Atlassian Confluence Server
• Atlassian Confluence Data Center
• バージョン > 1.3.0 (< 7.4.17, < 7.13.7, < 7.14.3, < 7.15.2, < 7.16.4, < 7.17.4, < 7.18.1) (注: これらはすべて個別のバージョンであり、基本的に7.4.17までのすべてのバージョンが脆弱ですが、7.13.6は7.4.xより新しいわけではありません→これも脆弱です)

参考情報

• GitHub PoC - Samy Younsi, 2022年6月3日
• Atlassian Confluence Softwareにおけるゼロデイ脆弱性CVE-2022-26134 - guenni, 2022年6月3日
• CVE-details - CVSS Score N/A