Confluence のセキュリティの概要とアドバイザリ

このドキュメントは、Confluence Web アプリケーションのセキュリティを評価するシステム管理者向けです。このページでは、全体的なアプリケーションセキュリティについて説明しています。また、Confluence 向けに発行されたセキュリティ勧告のリストもあります。一般向けの Web アプリケーションとして、Confluence のアプリケーションレベルのセキュリティは重要です。このドキュメントでは、弊社の製品のセキュリティに関してお客様からの問い合わせで一般的によくある質問に答えています。

お探しのその他のトピック

• ユーザー管理、グループと権限について詳細は、「内部セキュリティの概要」を参照してください。
• Confluence サイトのセキュリティの設定に関するガイドラインについては、管理者ガイドの Confluence セキュリティの設定を参照してください。

アプリケーションセキュリティ概要

パスワードの保存

When Confluence's internal user management is used, passwords are hashed through SHA1 before being stored in the database. There is no mechanism within Confluence to retrieve a user's password – when password recovery is performed, a reset password link is generated and mailed to the user's registered address.

外部ユーザー管理が有効になっている場合、パスワードの保存は外部システムが代行します。

バッファーオバーフロー

Confluence は固有のコンポーネントがない 100% 純粋な Java アプリケーションです。このため、バッファーオーバーフロー脆弱性に対して強い耐性を持っています。起こり得るバッファーオーバーランはJava ランタイム環境自体にあるバグに限定されます。

SQL インジェクション

Confluence は Hibernate オブジェクト関係マッパーを介してデータベースと対話します。データベースクエリは、文字列連結ではなく、パラメーターを置換する標準の API を使用して生成されます。このため、Confluence は SQL インジェクション攻撃に強い耐性があります。

スクリプトインジェクション

Confluence は自己完結型の Java アプリケーションで、外部プロセスを起動しません。 このため、スクリプトインジェクション攻撃に対して強い耐性があります。

クロスサイトスクリプティング

ユーザー生成のコンテンツを Web 上に投稿できるコンテンツ管理システムとして、クロスサイトスクリプティング攻撃を防止するために、アプリケーション内で次の予防措置が取られてきました。

• Confluence の Wiki マークアップ言語では危険な HTML マークアップはサポートされていません。
• 未加工の HTML の挿入を許可するマクロは既定で無効化されています。
• ファイル添付としてアップロードされた HTMLは、ファイルのダウンロードが要求されると、インラインで表示されずに、コンテンツ タイプで提供されます。
• Only system administrators can make HTML-level customisations of the application

When cross-site scripting vulnerabilities are found in the Confluence web application, we endeavour to fix them as quickly as possible.