Atlassian Confluence 身份验证不当漏洞（CVE-2023-22518)

admin
admin
admin
138979
文章
114
评论
2024年2月15日19:39:45评论13 views字数 1035阅读3分27秒阅读模式
Atlassian Confluence 身份验证不当漏洞（CVE-2023-22518)

Atlassian Confluence 身份验证不当漏洞
（CVE-2023-22518）

Atlassian Confluence是由Atlassian开发的企业级的内容协作工具，为团队成员创建、分享和合作文档提供了一个中央枢纽，让团队可以在一个共享工作区创建、分享和合作文档。这个工具可以集成到Atlassian的其他产品中，包括Jira，Trello，Stride等。

01 漏洞描述

漏洞类型：Atlassian Confluence 身份验证不当漏洞

简述：近日，Atlassian官方修复了Atlassian Confluence 身份验证不当漏洞（CVE-2023-22518）。未经身份验证的远程攻击者通过构造恶意请求可在一定程度绕过目标系统身份验证，并通过后台接口获得接管服务器的权限，最终可实现远程代码执行，由于攻击者无法泄露任何系统数据，因此不会影响机密性；但该漏洞利用会导致 Confluence 数据清空，对数据完整性产生不可逆的影响。请受影响用户尽快采取措施进行防护。
该漏洞的细节已在互联网公开，已有在野利用POC/EXP，相关用户请提高关注。

02 漏洞影响版本

Atlassian confluence < 7.19.16

Atlassian confluence < 8.3.4

Atlassian confluence < 8.4.4

Atlassian confluence < 8.5.3

Atlassian confluence < 8.6.1

03 漏洞修复方案

官方升级
目前官方已发布安全版本修复此漏洞，建议受影响的用户及时更新版本进行防护，以保证服务的安全性及稳定性：
https://www.atlassian.com/software/confluence/download-archives
临时防护措施
无法升级的用户，可采用以下临时缓解措施：
1）备份应用数据，详细操作说明可访问以下链接：https://confluence.atlassian.com/doc/production-backup-strategy-38797389.html
2）在自身业务不受影响的情况下，对于可公开访问的应用（包括具有用户身份验证的实例），应在升级或安装补丁之前限制其对外部网络的访问权限。

04 参考链接

https://zhuanlan.zhihu.com/p/664472690

END

原文始发于微信公众号（锋刃科技）：Atlassian Confluence 身份验证不当漏洞（CVE-2023-22518)

免责声明:文章中涉及的程序(方法)可能带有攻击性，仅供安全研究与教学之用，读者将其信息做其他用途，由读者承担全部法律及连带责任，本站不承担任何法律及连带责任；如有问题可邮件联系(建议使用企业邮箱或有效邮箱,避免邮件被拦截，联系方式见首页)，望知悉。
  • 左青龙
  • 微信扫一扫
  • weinxin
  • 右白虎
  • 微信扫一扫
  • weinxin
admin
  • 本文由 发表于 2024年2月15日19:39:45
  • 转载请保留本文链接(CN-SEC中文网:感谢原作者辛苦付出)：
                   Atlassian Confluence 身份验证不当漏洞（CVE-2023-22518)https://cn-sec.com/archives/2173259.html
                  免责声明:文章中涉及的程序(方法)可能带有攻击性，仅供安全研究与教学之用，读者将其信息做其他用途，由读者承担全部法律及连带责任，本站不承担任何法律及连带责任；如有问题可邮件联系(建议使用企业邮箱或有效邮箱,避免邮件被拦截，联系方式见首页)，望知悉.

发表评论

匿名网友 填写信息