【漏洞预警】Atlassian Confluence Data Center and Server 权限提升漏洞

admin 2023年10月8日14:27:59评论52 views字数 1724阅读5分44秒阅读模式

【漏洞预警】Atlassian Confluence Data Center and Server 权限提升漏洞

CVE-2023-22515漏洞描述:    
Confluence Data Center and Server 存在权限提升漏洞,未经身份验证的远程攻击者可能利用该漏洞来创建未经授权的confluence管理员帐户并访问Confluent实例。
Atlassian Cloud站点不受此漏洞影响。如果您的Confluence站点是通过atlassian.net域访问的,则它由Atlassian托管,不易受到此问题的影响。

利用条件:

漏洞利用可能:

影响版本:
8.0.0 <= Confluence Data Center and Confluence Server <= 8.0.4
8.1.0 <= Confluence Data Center and Confluence Server <= 8.1.4
8.2.0 <= Confluence Data Center and Confluence Server <= 8.2.3
8.3.0 <= Confluence Data Center and Confluence Server <= 8.3.2
8.4.0 <= Confluence Data Center and Confluence Server <= 8.4.2
8.5.0 <= Confluence Data Center and Confluence Server <= 8.5.1

修复方法:
目前官方已有可更新版本,建议受影响用户升级至安全版本:
Confluence Data Center and Confluence Server 8.3.3 或更高版本
Confluence Data Center and Confluence Server 8.4.3 或更高版本
Confluence Data Center and Confluence Server 8.5.2 或更高版本

缓解方案:
如果您无法升级 Confluence,作为临时措施,我们建议限制对受影响实例的外部网络访问。
/setup/*此外,您可以通过阻止对Confluence 实例上端点的访问来缓解此漏洞的已知攻击媒介。这可以在网络层或通过对 Confluence 配置文件进行以下更改来实现。
1.在每个节点上,修改/<confluence-install-dir>/confluence/WEB-INF/web.xml  并添加以下代码块(就在文件末尾的标记之前) :</web-app>
<security-constraint>
     <web-resource-collection>
       <url-pattern>/setup/*</url-pattern>
       <http-method-omission>*</http-method-omission>
    </web-resource-collection>
   <auth-constraint />
</security-constraint>

2. 重新启动 Confluence
该缓解措施可防止任何 Confluence 管理员触发 Confluence 设置操作,这包括从头开始设置 Confluence 或迁移到数据中心或从数据中心迁移。如果需要这些操作,您需要从 web.xml 文件中删除这些行。如果您没有运行 Confluence 的固定版本,请重新添加这些行。

相关链接:

https://confluence.atlassian.com/pages/viewpage.action?pageId=1295682276

https://confluence.atlassian.com/display/KB/FAQ+for+CVE-2023-22515

https://jira.atlassian.com/browse/CONFSERVER-92457

https://confluence.atlassian.com/security/cve-2023-22515-privilege-escalation-vulnerability-in-confluence-data-center-and-server-1295682276.html


原文始发于微信公众号(飓风网络安全):【漏洞预警】Atlassian Confluence Data Center and Server 权限提升漏洞

  • 左青龙
  • 微信扫一扫
  • weinxin
  • 右白虎
  • 微信扫一扫
  • weinxin
admin
  • 本文由 发表于 2023年10月8日14:27:59
  • 转载请保留本文链接(CN-SEC中文网:感谢原作者辛苦付出):
                   【漏洞预警】Atlassian Confluence Data Center and Server 权限提升漏洞https://cn-sec.com/archives/2091616.html

发表评论

匿名网友 填写信息