Atlassian 提醒注意严重的 Confluence 漏洞，可导致数据丢失

澳大利亚软件公司 Atlassian 提醒管理员，应立即修复暴露在互联网的 Confluence 实例，其中包含的严重漏洞CVE-2023-22518如遭成功利用可导致数据丢失。

该漏洞是一个授权不当漏洞，影响 Confluence Data Center 和 Confluence Server 软件的所有版本，编号是CVE-2023-22518，导致公开可访问的实例面临严重风险。

虽然威胁行动者可利用该漏洞破坏受影响服务器上的数据，但由于该漏洞无法被用于提取实例数据，因此并不影响机密性。通过 atlassian.net 域访问的 Atlassian Cloud 站点也不受该漏洞影响。

Atlassian 公司的首席信息安全官 (CISO) Bala Sathiamurthy 指出，“在可持续的安全评估流程中，我们发现如果该漏洞遭未认证攻击者访问，则 Confluence Data Center and Server 客户易受重大数据丢失影响。虽然目前尚未发现该漏洞遭活跃利用的证据，但客户必须立即采取措施保护实例安全。”

Atlassian 公司在 Confluence Data Center and Sserver 版本7.19.16、8.3.4、8.4.4、8.5.3和8.6.1中修复了这个漏洞。

Atlassian 公司提醒管理员立即升级至已修复版本；如无法立即修复，则可应用缓解措施，包括在升级前备份未修复实例以及拦截互联网访问权限等。该公司指出，“可被公开互联网访问的实例包括具有用户认证的实例等，应当被限制访问外部网络。”

本月早些时候，CISA、FBI和MS-ISAC 提醒网络管理员立即修复已遭利用的提权漏洞CVE-2023-22515。联合公告提到，“由于易遭利用，CISA、FBI和MS-ISAC 预计将看到政府和私有网络中未修复 Confluence 实例遭大规模利用的情况。”

尽快修复易受攻击的 Confluence 服务器至关重要，此前它们曾遭大规模利用于推送 Linux 僵尸网络恶意软件、密币挖矿机以及 AvosLocker 和 Cerber2021勒索软件。