This document is for system administrators looking to evaluate the security of the Confluence web application. The page addresses overall application security and lists the security advisories issued for Confluence. As a public-facing web application, Confluence's application-level security is important. This document answers a number of questions that commonly arise when customers ask us about the security of our product.

Other topics:

 

On this page:

(warning) The information on this page does not apply to

[Unable to render {include} The included page could not be found. ({include} をレンダリングできません。ページが見つかりませんでした)] を選択し、
.

アプリケーションセキュリティ概要

パスワードの保存

When Confluence's internal user management is used, passwords are hashed through SHA1 before being stored in the database. There is no mechanism within Confluence to retrieve a user's password – when password recovery is performed, a new random password is generated and mailed to the user's registered address.

外部ユーザー管理が有効になっている場合、パスワードの保存は外部システムが代行します。

バッファーオバーフロー

Confluence は固有のコンポーネントがない 100% 純粋な Java アプリケーションです。このため、バッファーオーバーフロー脆弱性に対して強い耐性を持っています。起こり得るバッファーオーバーランはJava ランタイム環境自体にあるバグに限定されます。

SQL インジェクション

Confluence は Hibernate オブジェクト関係マッパーを介してデータベースと対話します。データベースクエリは、文字列連結ではなく、パラメーターを置換する標準の API を使用して生成されます。このため、Confluence は SQL インジェクション攻撃に強い耐性があります。

スクリプトインジェクション

Confluence は自己完結型の Java アプリケーションで、外部プロセスを起動しません。 このため、スクリプトインジェクション攻撃に対して強い耐性があります。

クロスサイトスクリプティング

ユーザー生成のコンテンツを Web 上に投稿できるコンテンツ管理システムとして、クロスサイトスクリプティング攻撃を防止するために、アプリケーション内で次の予防措置が取られてきました。

  • Confluence の Wiki マークアップ言語では危険な HTML マークアップはサポートされていません。
  • 未加工の HTML の挿入を許可するマクロは既定で無効化されています。
  • ファイル添付としてアップロードされた HTMLは、ファイルのダウンロードが要求されると、インラインで表示されずに、コンテンツ タイプで提供されます。
  • Only system administrators can make HTML-level customisations of the application

When cross-site scripting vulnerabilities are found in the Confluence web application, we endeavour to fix them as quickly as possible.

トランスポート層のセキュリティ

Confluence は SSL/TLS を直接的にサポートしていません。トランスポート層のセキュリティを心配している管理者は、Java Web アプリケーションサーバーのレベルで SSL/TLS を設定するか、HTTP プロキシを Confluence アプリケーションの前に配置してください。

SSL を使用できるように Confluence を設定する方法の詳細は、「SSL または HTTPS による Confluence の実行」を参照してください。

セッション管理

Confluence はセッション管理をデプロイされた Java アプリケーションサーバーに代行させます。Confluence に同梱されている Tomcat アプリケーションサーバーに対して実行可能なセッションハイジャック攻撃は確認されていません。他のアプリケーションサーバーに Confluence をデプロイしている場合、セッションハイジャックに対して脆弱性がないことを確認する必要があります。

プラグインのセキュリティ

管理者はサードパーティ製のプラグインを自己責任でインストールします。プラグインは、Confluence サーバーと同じ仮想マシンで実行され、Java ランタイム環境や、Confluence サーバー API にアクセスできます。

管理者は、インストールするプラグインの供給元と、プラグインが信頼できるかどうかについて常に意識すべきです。

管理者信頼モデル

Confluence では、システム管理者権限が与えられているユーザーは信頼できるという想定の下にプログラムが記述されています。システム管理者は、直接、またはプラグインをインストールすることによって、Confluence アプリケーションで可能なあらゆる操作を実行できます。

あらゆるアプリケーションと同様、root / 管理者ユーザーとして Confluence を実行しないことをおすすえします。権限が必要なネットワーク ポートを Confluence でリッスンしたい場合、権限を追加して Confluence を実行するのではなく、ポート フォワーディングまたはプロキシを設定することを推奨します。chroot jail 内での Confluence の実行もご検討ください。

スタックトレース

デバッグ サポートケースを支援し、優れたサポートを実現するために、Confluence はエラーが発生すると Web インターフェイスを介してスタックトレースを提供します。これらのスタックトレースには、Confluence がエラー発生時に実行していた内容に関する情報と、ご使用のデプロイメントサーバーに関する一部の情報が含まれます。

オペレーティングシステム、バージョン、Java バージョンなど、非個人情報のみが提供されます。適切なネットワークセキュリティを備えていれば、この程度の情報提供で危険性を危惧する必要はありません。ユーザー名やパスワードはまったく含まれていません。

セキュリティ脆弱性の発見と報告

Atlassian's approach to reporting security vulnerabilities is detailed in How to Report a Security Issue.

Confluence セキュリティ勧告の公開

Atlassian's approach to releasing security advisories is detailed in Security Advisory Publishing Policy.

セキュリティレベル

Atlassian's approach to ranking security issues is detailed in Severity Levels for Security Issues.

Our Patch Policy

Atlassian's approach to releasing patches for security issues is detailed in Security Patch Policy.

公開済みのセキュリティ勧告

Other Security Resources

ラベル別コンテンツ

指定したラベルを持つコンテンツはありません。

Except where otherwise noted, content in this space is licensed under a Creative Commons Attribution 2.5 Australia License.