As a public-facing web application, Confluence's application-level security is important. This document answers a number of questions that commonly arise when customers ask us about the security of our product.
This document is for system administrators looking to evaluate the security of the Confluence web application. This section only addresses overall application security. It does not address Confluence's internal security model (user/group management and content permissions). For information about user management, groups and permissions, please refer to the internal security overview. |
On this page:
When Confluence's internal user management is used, passwords are hashed through SHA1 before being stored in the database. There is no mechanism within Confluence to retrieve a user's password – when password recovery is performed, a new random password is generated and mailed to the user's registered address.
外部ユーザー管理が有効になっている場合、パスワードの保存は外部システムが代行します。
Confluence は固有のコンポーネントがない 100% 純粋な Java アプリケーションです。このため、バッファーオーバーフロー脆弱性に対して強い耐性を持っています。起こり得るバッファーオーバーランはJava ランタイム環境自体にあるバグに限定されます。
Confluence は Hibernate オブジェクト関係マッパーを介してデータベースと対話します。データベースクエリは、文字列連結ではなく、パラメーターを置換する標準の API を使用して生成されます。このため、Confluence は SQL インジェクション攻撃に強い耐性があります。
Confluence は自己完結型の Java アプリケーションで、外部プロセスを起動しません。 このため、スクリプトインジェクション攻撃に対して強い耐性があります。
ユーザー生成のコンテンツを Web 上に投稿できるコンテンツ管理システムとして、クロスサイトスクリプティング攻撃を防止するために、アプリケーション内で次の予防措置が取られてきました。
When cross-site scripting vulnerabilities are found in the Confluence web application, we endeavour to fix them as quickly as possible.
Confluence は SSL/TLS を直接的にサポートしていません。トランスポート層のセキュリティを心配している管理者は、Java Web アプリケーションサーバーのレベルで SSL/TLS を設定するか、HTTP プロキシを Confluence アプリケーションの前に配置してください。
For more information on configuring Confluence for SSL, see: Adding SSL for Secure Logins and Page Security
Confluence delegates session management to the Java application server in which it is deployed. We are not aware of any viable session-hijacking attacks against the Tomcat application server shipped with Confluence Standalone. If you are deploying Confluence in some other application server, you should ensure that it is not vulnerable to session hijacking.
管理者はサードパーティ製のプラグインを自己責任でインストールします。プラグインは、Confluence サーバーと同じ仮想マシンで実行され、Java ランタイム環境や、Confluence サーバー API にアクセスできます。
管理者は、インストールするプラグインの供給元と、プラグインが信頼できるかどうかについて常に意識すべきです。
Confluence is written under the assumption that anyone given System Administrator privileges is trusted. System administrators are able, either directly or by installing plugins, to perform any operation that the Confluence application is capable of.
あらゆるアプリケーションと同様、root / 管理者ユーザーとして Confluence を実行しないことをおすすえします。権限が必要なネットワーク ポートを Confluence でリッスンしたい場合、権限を追加して Confluence を実行するのではなく、ポート フォワーディングまたはプロキシを設定することを推奨します。chroot jail 内での Confluence の実行もご検討ください。
Atlassian's approach to reporting security vulnerabilities is detailed in How to Report a Security Issue.
Atlassian's approach to releasing security advisories is detailed in Security Advisory Publishing Policy.
Atlassian's approach to ranking security issues is detailed in Severity Levels for Security Issues.
Atlassian's approach to releasing patches for security issues is detailed in Security Patch Policy.