Confluence セキュリティ勧告 - 2009-04-15

In this advisory:

さまざまな Confluence マクロの XSS 脆弱性

深刻度

Atlassian rates this vulnerability as high, according to the scale published in Confluence Security. The scale allows us to rank a vulnerability as critical, high, moderate or low.

Risk Assessment

We have identified and fixed two security flaws which may affect Confluence instances in a public environment. These flaws are all cross-site scripting (XSS) vulnerabilities in Confluence's Index and Widget Macros. Each vulnerability potentially allows a malicious user (attacker) to embed their own JavaScript into a Confluence page, which will be executed when the page is rendered.

• ハッカーはこの欠陥を利用して他のユーザーのセッション クッキーやその他の資格情報を盗み、その資格情報をハッカー自身の Web サーバーに送り返す可能性があります。
• The hacker's text and script might be displayed to other people viewing the Confluence page. This is potentially damaging to your company's reputation.

You can read more about XSS attacks at cgisecurity, CERT and other places on the web.

Risk Mitigation

この脆弱性を解決するには、Confluence インストールをパッチ適用またはアップグレードすることをお勧めします。以下の「修正」セクションをご参照ください。

Alternatively if you are not in a position to undertake this immediately and you judge it necessary, you can disable public access (e.g. anonymous access and public sign-on) to your wiki until you have applied the necessary patch or upgrade. For even tighter control, you could restrict access to trusted groups.

また、必要なパッチまたはアップグレードを適用するまで、ウィジェット コネクタ プラグインと Confluence Advanced Macros プラグインのインデックス マクロ モジュールを一時的に無効にできます。ただし、これによって、Confluence サイトの既存のページまたはブログでこれらのマクロが発生すると、「不明なマクロ」表示でレンダリングされることにご注意ください。

Vulnerability

Confluence 2.10.3 より前のすべてのバージョンは、このセキュリティ上の問題に対して脆弱性を持っています。

修正

この修正には、ページ上のコンテンツを正しくレンダリングするためのインデックス マクロの更新と、渡されたすべてのパラメーターを正しくエンコードするためのウィジェット マクロの更新が含まれます。

To patch your existing installation of Confluence, please refer to CONF-14753 for the Index Macro and CONF-14337 for the Widget Macro. These JIRA issues contain the downloadable patch files and instructions on how to patch your existing Confluence installation.

Alternatively, install or upgrade to Confluence version 2.10.3. (See the release notes.) The Confluence 2.10.3 installation files can be downloaded from the download centre.

For more information, please refer to CONF-14753 and CONF-14337.

添付ファイル名による HTTP ヘッダー インジェクションの欠陥

深刻度

Atlassian rates this vulnerability as high, according to the scale published in Confluence Security. The scale allows us to rank a vulnerability as critical, high, moderate or low.

Risk Assessment

添付ファイル名に関するセキュリティ上の欠陥を、特定して修正しました。この脆弱性によって、この欠陥を悪用するように設計された、ファイル名が変更された添付ファイルのアップロードによる HTTP ヘッダー インジェクション攻撃につながる可能性があります。攻撃者が悪意のあるコードを HTTP レスポンスに挿入して、このコードがユーザーのセッションで実行されます。

• 攻撃者は、この欠陥を利用して他のユーザーのセッション クッキーやその他の資格情報を盗んで、その資格情報を攻撃者自身の Web サーバーに送り返す可能性があります。
• また、攻撃者はセッション Cookie が盗まれたユーザーの権限に基づいて、基盤となるシステムを制御できます。
• 攻撃者は、ユーザーを望ましくない Web サイトにリダイレクトする可能性があります。これによって、貴社の評判が損なわれる可能性があります。

Risk Mitigation

これらの脆弱性を解決するには、Confluence インストールをパッチ適用またはアップグレードすることを強くお勧めします。以下の「修正」セクションをご参照ください。

If you judge it necessary, you can disable public access (e.g. anonymous access and public sign-on) to your wiki until you have applied the necessary patch or upgrade. For even tighter control, you could restrict access to trusted groups.

Alternatively, you may consider taking the following step, although the time required to fix this vulnerability and the extent of its effectiveness will depend on your application server running Confluence and its configuration:

• Consult the vendor of your application server to see whether your application server is immune to header injection vulnerabilities or has configuration options to prevent such attacks. For example, the Coyote (HTTP) connector in Tomcat version 5.5 and later is immune to header injection attacks, as acknowledged in this reference.
  Technical note: In your application server, header injection vulnerabilities can be mitigated if the setHeader(), addHeader(), and sendRedirect() methods in the HttpServletResponse class have their parameters properly checked for header termination characters.
  You may wish to forward this technical note to the vendor of your application server to help them assess the vulnerability of your application server to header injection attacks.

Vulnerability

Confluence 2.10.3 より前のすべてのバージョンは、このセキュリティ上の問題に対して脆弱性を持っています。

修正

この修正には、Confluence の新しいヘッダー インジェクション防止フィルターが含まれています。これによって、HTTP ヘッダーに含まれる前に、添付ファイル名またはその他のユーザー提供データが正しくエンコードされます。

To patch your existing installation of Confluence, please refer to CONF-14704. This JIRA issue contains the downloadable patch files and instructions on how to patch your existing Confluence installation.

Alternatively, install or upgrade to Confluence version 2.10.3. (See the release notes.) The Confluence 2.10.3 installation files can be downloaded from the download centre.

For more information, please refer to CONF-14704.