米国土安全保障省サイバーセキュリティ・インフラストラクチャセキュリティ庁(CISA: Cybersecurity and Infrastructure Security Agency)は6月2日(米国時間)、「CISA Adds One Known Exploited Vulnerability (CVE-2022-26134) to Catalog  ｜CISA」において、「Known Exploited Vulnerabilities Catalog」に脆弱性を追加したと伝えた。

  • CISA Adds One Known Exploited Vulnerability (CVE-2022-26134) to Catalog  ｜CISA

    CISA Adds One Known Exploited Vulnerability (CVE-2022-26134) to Catalog  ｜CISA

今回、カタログに追加されたのはAtlassianはConfluence ServerおよびData Centerの脆弱性（CVE-2022-26134）。

脆弱性の主な内容は次のとおりで、悪用されると、認証されていない遠隔の第三者に任意のコードを実行される恐れがある。

CVE番号 脆弱性内容
CVE-2022-26134 Versions of Confluence Server and Data Center contain a remote code execution vulnerability that allow for an unauthenticated attacker to perform arbitrary code execution.

JPCERT/CCによると、6月3日時点で、Atlassianからこの脆弱性を修正したバージョンは公開されていないという。対策バージョンが公開されるまでの暫定策として、Atlassianからは以下の実施が推奨されている。

  • Confluence ServerおよびConfluence Data Centerへのインターネットからの接続を制限する
  • Confluence ServerおよびConfluence Data Centerを一時的に無効にする