股票代碼：688225
打開微信“掃一掃”，開啟安全數(shù)字世界之旅
截圖或長按保存至相冊，使用微信掃一掃
警惕！Atlassian Confluence遠(yuǎn)程代碼執(zhí)行漏洞通告
發(fā)布時間 ：2022年06月07日
類型 ：勒索軟件
分享：
漏洞描述
近日，亞信安全CERT監(jiān)測到Confluence遠(yuǎn)程代碼執(zhí)行漏洞（CVE-2022-26134）的在野利用。該漏洞影響Confluence Server和Confluence Data Center，經(jīng)過身份認(rèn)證（某些場景無需身份認(rèn)證）的攻擊者，可利用該漏洞進(jìn)行OGNL注入，在遠(yuǎn)程服務(wù)器上執(zhí)行任意代碼，進(jìn)而控制服務(wù)器。經(jīng)亞信安全CERT技術(shù)研判，該漏洞范圍較大且目前在野利用，目前官方已發(fā)布漏洞補(bǔ)丁，建議使用Atlassian Confluence的用戶盡快自查并修復(fù)漏洞。
Atlassian Confluence Server是一套專業(yè)的企業(yè)知識管理與協(xié)同軟件，也可以用于構(gòu)建企業(yè)WiKi，其客戶遍布全球，目前有超過75,000家客戶使用該產(chǎn)品。
漏洞編號及評分
CVE-2022-26134（CVSS V3：9.8 ）
漏洞狀態(tài)
漏洞細(xì)節(jié) | 漏洞PoC | 漏洞EXP | 在野利用 |
已公開 | 已公開 | 已公開 | 存在 |
亞信安全產(chǎn)品解決方案
亞信安全信桅深度威脅發(fā)現(xiàn)設(shè)備（TDA）已經(jīng)支持對上述提及漏洞的檢測：
產(chǎn)品 | 版本號 | 規(guī)則包版本 |
TDA | 6.0 | 1.0.0.114 |
7.0 | 1.0.0.116 |
漏洞復(fù)現(xiàn)
受影響的版本
Atlassian Confluence Server and Data Center < 7.4.17
Atlassian Confluence Server and Data Center < 7.13.7
Atlassian Confluence Server and Data Center < 7.14.3
Atlassian Confluence Server and Data Center < 7.15.2
Atlassian Confluence Server and Data Center < 7.16.4
Atlassian Confluence Server and Data Center < 7.17.4
Atlassian Confluence Server and Data Center < 7.18.1
修復(fù)建議
官方補(bǔ)丁
?Atlassian Confluence Server and Data Center 7.4.17
?Atlassian Confluence Server and Data Center 7.13.7
?Atlassian Confluence Server and Data Center 7.14.3
?Atlassian Confluence Server and Data Center 7.15.2
?Atlassian Confluence Server and Data Center 7.16.4
?Atlassian Confluence Server and Data Center 7.17.4
?Atlassian Confluence Server and Data Center 7.18.1
下載地址：
https://www.atlassian.com/software/confluence/download-archives
臨時修復(fù)方案
WAF設(shè)置阻止包含 ${ 的URL的規(guī)則
限制從互聯(lián)網(wǎng)直接訪問Confluence Server和Data Center實(shí)例
官方緩解措施
※ 對于 Confluence 7.15.0 - 7.18.0
如果在集群中運(yùn)行Confluence，需要在每個節(jié)點(diǎn)上重復(fù)這個過程。無需關(guān)閉整個集群即可應(yīng)用此緩解措施
關(guān)閉Confluence
將以下1個文件下載到Confluence服務(wù)器：
xwork-1.0.3-atlassian-10.jar
刪除（或?qū)⒁韵翵AR移出Confluence安裝目錄）：
Plaintext
<confluence-install>/confluence/WEB-INF/lib/xwork-1.0.3-atlassian-8.jar
注意：不要在目錄中留下這個舊JAR 的副本。
將下載的xwork-1.0.3-atlassian-10.jar復(fù)制到<confluence-install>/confluence/WEB-INF/lib/
檢查新xwork-1.0.3-atlassian-10.jar文件的權(quán)限和所有權(quán)是否與同一目錄中的現(xiàn)有文件匹配。
啟動Confluence
請記住，如果在集群中運(yùn)行Confluence，請確保在所有節(jié)點(diǎn)上應(yīng)用上述更新。
※ 對于 Confluence 7.0.0 - Confluence 7.14.2
如果在集群中運(yùn)行Confluence，需要在每個節(jié)點(diǎn)上重復(fù)這個過程。無需關(guān)閉整個集群即可應(yīng)用此緩解措施。
關(guān)閉Confluence
將以下3個文件下載到Confluence服務(wù)器：
xwork-1.0.3-atlassian-10.jar
CachedConfigurationProvider.class
webwork-2.1.5-atlassian-4.jar
刪除（或?qū)⒁韵翵AR移到Confluence安裝目錄之外）：
Plaintext
<confluence-install>/confluence/WEB-INF/lib/xwork-1.0.3.6.jar
<confluence-install>/confluence/WEB-INF/lib/webwork-2.1.5-atlassian-3.jar
注意：不要在目錄中留下舊JAR的副本
將下載的xwork-1.0.3-atlassian-10.jar復(fù)制到<confluence-install>/confluence/WEB-INF/lib/
將下載的webwork-2.1.5-atlassian-4.jar復(fù)制到<confluence-install>/confluence/WEB-INF/lib/
檢查兩個新文件的權(quán)限和所有權(quán)是否與同一目錄中的現(xiàn)有文件匹配。
切換到目錄<confluence-install>/confluence/WEB-INF/classes/com/atlassian/confluence/setup
a.創(chuàng)建一個名為的新目錄webwork
b.將CachedConfigurationProvider.class復(fù)制到<confluence-install>/confluence/WEB-INF/classes/com/atlassian/confluence/setup/webwork
c.確保權(quán)限和所有權(quán)正確：
Plaintext
<confluence-install>/confluence/WEB-INF/classes/com/atlassian/confluence/setup/webwork
Plaintext
<confluence-install>/confluence/WEB-INF/classes/com/atlassian/confluence/setup/webwork/CachedConfigurationProvider.class
啟動Confluence
請記住，如果在集群中運(yùn)行Confluence，請確保在所有節(jié)點(diǎn)上應(yīng)用上述更新。
參考鏈接
https://www.volexity.com/blog/2022/06/02/zero-day-exploitation-of-atlassian-confluence/
https://www.volexity.com/blog/2022/06/02/zero-day-exploitation-of-atlassian-confluence/
分享到微信
X