「Confluence」に“最高レベル”のゼロデイ脆弱性 遠隔地から任意のコードを実行される恐れ

豪Atlassianは6月2日（米西海岸時間）、同社のコラボレーションツール「Confluence」に関する一部製品で、遠隔地から任意のコードを認証不要で実行できてしまう脆弱性が見つかったと発表した。深刻度は同社基準の最高値である「Critical」で、修正プログラムは未公開。 CVE識別番号はCVE-2022-26134。Atlassianによると、ユーザー企業側のサーバで同サービスをホストする「Confluence Server」のバージョン 7.18.0で脆弱性の悪用を確認した他、IaaS上で管理するための「Confluence Data Center」バージョン7.4.0以降にも影響があるとしている。 修正プログラムは未公開だが、ユーザー側でできる一時的な対応として同社は、（1）Confluence ServerやConfluence Data Centerのインスタンスをインター

[deep_one]

紹介される対策が「切り離せ」「止めろ」しかなかった。

[kujira_aoi_blue]

オホッ

[asuka0801]

オンプレサーバー版だけかしら。

[JULY]

Atlassian のページを見ると、自身が提供している Atlassian Cloud ではやられた形跡は無い、とのこと。現状は WAF があれば簡単なルールで防げるみたいだけど、パッチがない状態でアナウンスって、in the wild なのかなぁ。