AtlassianとSplunkが計250超の脆弱性を修正──Jira・Confluence・SOARを使う組織は即時アップデートを

「会社でJiraとConfluenceを使っているんでしゅが、Atlassianの大規模パッチって何か対応が必要でしゅか？」
「Splunkも250件以上ってどういうことでしゅか？それだけ多いと全部対応できないんでしゅが……」

チップス

Jira・Confluenceって社内で毎日使っているんでしゅが、脆弱性がこんなにあるって怖いでしゅ……

ボス

今すぐアップデートを確認すべきだ。AtlassianとSplunkが合計250件超の脆弱性を修正した。RCEや認証バイパスを含む深刻なものが多く、日本企業で広く使われている製品が対象だ。

AtlassianとSplunkが、複数の製品に存在する計250件超の脆弱性を修正するセキュリティアップデートを一斉にリリースした。
Atlassianはサードパーティ依存関係を含む約109件の固有CVEを公開し、Splunkでは150件超の脆弱性を修正した。いずれも日本企業で広く使われている製品で、RCEや認証バイパスなど深刻な脆弱性が含まれる。

日本のITプロジェクト管理・SIEMの現場でこれらのツールを使っている組織は、今すぐバージョンを確認してほしい。

事件の概要──Atlassianで250超、Splunkで150超の脆弱性を一括修正

AtlassianはJira・Confluence・Bitbucket・Bamboo・Crowdなど、プロジェクト管理とソフトウェア開発の現場で使われる主要製品全製品に影響する脆弱性を一括公開した。
Splunkはエンタープライズのセキュリティ監視（SIEM）で使われる製品群が対象だ。

対象製品の一覧

今回のパッチ対象となった主要製品は以下の通りだ。

Atlassianの修正内訳──Critical 10件、High 162件

Atlassianは今回のアップデートで約109件の固有CVEを公開した。サードパーティ依存関係（ライブラリ）に存在するものだけで10件のCritical・162件のHighが含まれる。
自社製品のコードだけでなく、使用しているオープンソースライブラリ経由の脆弱性も大量に含まれているのが今回の特徴だ。

脆弱性の仕組みと影響──RCEから認証バイパスまで多種多様

今回の脆弱性で攻撃者が実行できる攻撃の種類は多岐にわたる。これらが組み合わさると、外部からの侵入→内部ネットワーク探索→データ窃取という典型的な攻撃チェーンが成立する。

攻撃者が悪用できる主な手口

パッチ公開後の悪用急増に注意

チップス

今は攻撃されていないなら、もう少し後でパッチを当てても大丈夫でしゅよね？

ボス

それが危険なんだ。攻撃者はパッチの差分からPoCを作成し、公開後数日〜数週間で悪用を開始する。Atlassian製品は過去にもパッチ公開後に急速に悪用が広がった実績がある。先手を打って当てることが重要だ。

現時点では野放しの悪用は確認されていない。しかしパッチの詳細が公開されると、攻撃者がそこからPoCコードを作成して悪用するまでの時間は短くなっている。
すべてを即時適用できない場合は、インターネットに公開されている環境から優先的に対応することが重要だ。

まとめ

チップス

これだけ多くの脆弱性が一度に修正されるって、どこから手を付ければいいんでしゅか？

ボス

優先順位はシンプルだ。インターネットに公開しているサービスから始め、次にCriticalとHigh、そして内部利用のものという順で当てていく。全部が終わるまでの間は、WAFやアクセス制御でリスクを軽減する。

AtlassianとSplunkの今回の大規模パッチリリースは、現代のソフトウェアがいかに多くのサードパーティライブラリに依存しているかを示す事例だ。
現時点で悪用は未確認だが、過去の事例が示すようにパッチ公開後の悪用急増は現実のリスクだ。

Jira・Confluence・Splunkなど対象製品を使用している組織は、今すぐバージョンを確認し、最新パッチを適用してほしい。