芒竹云公告 > 公告详情

【安全通告】Atlassian Confluence 远程代码执行漏洞风险通告(CVE-2022-26134)

发布时间:2022-06-04 12:40:08
尊敬的芒竹云用户,您好!
芒竹云安全运营中心监测到, Atlassian官方发布安全通告,披露了Confluence Server 和 Confluence Data Center中存在的一个远程代码执行漏洞,漏洞编号CVE-2022-26134。可导致攻击者无需身份验证远程执行任意代码等危害。
为避免您的业务受影响,芒竹云安全建议您及时开展安全自查,如在受影响范围,请您及时进行更新修复,避免被外部攻击者入侵。
漏洞详情
Confluence是一个知识管理的平台,可让团队成员协作、分享信息,查找工作所需的资料,打破不同团队、不同部门以及个人之间信息孤岛,实现组织资源共享。

据官方描述,漏洞由于Confluence Server 和 Data Center 版本中存在 OGNL表达式注入导致,可导致攻击者在未经身份验证的情况下,通过发送恶意请求,注入执行任意代码。

风险等级
高风险
漏洞风险
攻击者利用该漏洞可导致无需身份验证远程执行任意代码
影响版本
Confluence Server / Data Center 1.3.0 < 7.4.17
Confluence Server / Data Center 7.13.0 < 7.13.7
Confluence Server / Data Center 7.14.0 < 7.14.3
Confluence Server / Data Center 7.15.0 < 7.15.2
Confluence Server / Data Center 7.16.0 < 7.16.4
Confluence Server / Data Center 7.17.0 < 7.17.4
Confluence Server / Data Center 7.18.0 < 7.18.1
安全版本
Confluence Server / Data Center >= 7.4.17
Confluence Server / Data Center >= 7.13.7
Confluence Server / Data Center >= 7.14.3
Confluence Server / Data Center >= 7.15.2
Confluence Server / Data Center >= 7.16.4
Confluence Server / Data Center >= 7.17.4
Confluence Server / Data Center >= 7.18.1
修复建议
官方已发布漏洞补丁及修复版本,请评估业务是否受影响后,酌情升级至安全版本

临时缓解措施:
对于 Confluence 7.15.0 - 7.18.0 及 Confluence 7.0.0 - 7.14.2,官方已发布临时缓解措施,可参考以下链接中的缓解措施进行临时修复:https://confluence.atlassian.com/doc/confluence-security-advisory-2022-06-02-1130377146.html
【备注】:建议您在升级前做好数据备份工作,避免出现意外
漏洞参考

https://confluence.atlassian.com/doc/confluence-security-advisory-2022-06-02-1130377146.html
https://jira.atlassian.com/browse/CONFSERVER-79016


/template/Home/qcloud/PC/Static