關于Atlassian Confluence Widget Connector存在目錄穿越、遠程代碼執行漏洞的安全公告

發布時間:2019-04-11

安全公告編號:CNTA-2019-0012

2019年4月10日,國家信息安全漏洞共享平臺(CNVD)收錄了Atlassian Confluence Widget Connector目錄穿越、遠程代碼執行漏洞(CNVD-2019-08177、CNVD-2019-08178)。攻擊者利用該漏洞,可在未授權的情況下實現目錄穿越及遠程執行代碼。目前,漏洞利用原理已公開,廠商已發布新版本修復此漏洞。

一、漏洞情況分析

Confluence是一個專業的企業知識管理與協同軟件,可用于構建企業wiki。Confluence的編輯和站點管理特征能夠幫助團隊成員之間共享信息、文檔協作、集體討論,信息推送。Confluence應用于多方面技術研究領域,包括IBM、Sun MicroSystems、SAP等眾多知名企業使用Confluence來構建企業Wiki并面向公眾開放。 Confluence Widget Connector是 Confluence 的窗口小部件,使用Widget Connector 能將在線視頻、幻燈片、圖片等直接嵌入網頁頁面中。

2019年3月20日,Confluence官方發布了版本更新信息,修復了目錄穿越、遠程代碼執行漏洞。該漏洞產生于服務器端模板的注入漏洞,主要存在于Confluence Server及Data Center的插件Widget Connector當中,存在漏洞的版本允許攻擊者通過在插入文檔與視頻相關的內容時(/rest/tinymce/1/macro/preview)直接通過HTTP請求參數添加_template字段即可回顯相關目錄與文件信息,同時也可通過file:///等協議執行系統命令。攻擊者利用該漏洞,可在未經授權的情況下,對目標網站進行遠程命令執行攻擊。

CNVD對該漏洞的綜合評級為“高危”。 

二、漏洞影響范圍

漏洞影響的產品版本包括:

Atlassian Confluence Server 6.6.12及以下版本;

Atlassian Confluence Server 6.7.0-6.12.2版本;

Atlassian Confluence Server 6.13.3之前的所有6.13.x版本;

Atlassian Confluence Server 6.14.2之前的所有6.14.x版本。

CNVD秘書處對Confluence的全球占有率進行了調查,結果顯示全球Confluence系統數量約為61888,其中,8177個系統位于我國境內。

在黨政機關、重要行業的信息系統中,使用Confluence建立信息共享wiki站點的比例很小,故影響較低。

三、漏洞處置建議

目前,Confluence官方已發布新版本修復此漏洞,CNVD建議用戶立即升級至最新版本:

https://www.atlassian.com/software/confluence/download/

https://atlassian.com/software/confluence


附:參考鏈接:

https://www.atlassian.com/software/confluence/download/

https://atlassian.com/software/confluence


聯系電話:010-62199788
公司地址:北京市昌平區七北路TBD云集中心(42號院)16號樓
Copyright 2015-2020 長安通信科技有限責任公司版權所有 All Rights Reserved 京ICP備13045911號

掃碼關注

星光之吻登陆