Confluence セキュリティ勧告 - 2006-01-20

Confluence で、攻撃者が悪意のある HTML コードを Confluence に注入できる欠陥が見つかりました。アトラシアンでは、Confluence のお客様全員が以下の修正をすぐに適用するか、Confluence 2.1.3 にアップグレードすることを強くお勧めします。

Vulnerability

攻撃者はユーザーのプロファイルのフルネームに HTML/JavaScript コードを入力することで、Confluence インスタンスのセキュリティ コンテキストでユーザーのブラウザーによって任意のスクリプト コードを実行できます。

This flaw affects all versions of Confluence between 1.4-DR releases and 2.1.2.

This issue was initally reported by Ricardo Sueiras and a fix was quickly documented by Dan Hardiker at the Confluence Community Security Advisory 2006-01-19 page. Our thanks to them for bringing this to our attention.

There is an issue in JIRA at CONF-5233.

修正

この脆弱性は Confluence 2.1.3 以降で修正されています。2.1.3 への移行を希望しないお客様は、以下の手順を使用してこのバグを修正できます。

次の手順に従います。

1. Copy macros.vm to your confluence/template/includes folder
2. Confluence を再起動します。

Note: If you are using version 1.4.4, please download and copy this file instead. You will need to rename it back to macros.vm.

上記のどのバージョンも使用していない場合は、$generalUtil.htmlEncode() でユーザーのフルネームを表示するために、ラップ コールを置き換える必要があります。または、メールをお送りください。ただし、使用しているバージョンに関係なく、最新の安定版ポイント リリースを使用することをお勧めします。