安(ān)全通告—亚信安(ān)全—护航产(chǎn)业互联安(ān)全数字世界

近期，亚信安(ān)全CERT通过监控发现，Atlassian 公(gōng)司发布了一则安(ān)全公(gōng)告，针对 Confluence 数据中(zhōng)心和 Confluence 服務(wù)器存在的遠(yuǎn)程代码执行漏洞（CVE-2023-22522）进行了修复。该漏洞涉及 Confluence 页(yè)面中(zhōng)的模板注入问题，允许经过身份验证的攻击者（包括具(jù)有(yǒu)匿名(míng)访问权限的攻击者）将不安(ān)全的用(yòng)户输入注入到 Confluence 页(yè)面中(zhōng)。通过此漏洞，攻击者可(kě)在受影响的实例上实现遠(yuǎn)程代码执行。值得注意的是，如果您的 Confluence 站点是通过 atlassian.net 域访问的，则不会受到此问题的影响。

Confluence 作(zuò)為(wèi)一款专业的企业知识管理(lǐ)与协同软件，广泛用(yòng)于构建企业 Wiki。其简单易用(yòng)的特性以及强大的编辑和站点管理(lǐ)功能(néng)，有(yǒu)助于团队成员之间的信息共享、文(wén)档协作(zuò)、集體(tǐ)讨论和信息推送。目前，全球范围内已有(yǒu)超过 75,000 家客户选择并使用(yòng)该产(chǎn)品。

鉴于该安(ān)全漏洞的存在，厂商(shāng)已迅速发布修复版本。亚信安(ān)全CERT强烈建议使用(yòng)受影响版本的用(yòng)户及时关注官方更新(xīn)，并参照官方提供的修复方案迅速采取相关措施。為(wèi)确保资产(chǎn)安(ān)全，建议用(yòng)户进行资产(chǎn)自查和预防工(gōng)作(zuò)，以免遭受潜在的黑客攻击。

漏洞编号、等级和类型

CVE-2023-22522
高危
代码执行

漏洞状态

受影响版本

4.x.x <= Confluence Data Center and Server <= 7.x.x
8.0.x <= Confluence Data Center and Server <= 8.3.x
8.4.0 <= Confluence Data Center and Server <= 8.4.4
8.5.0 <= Confluence Data Center and Server <= 8.5.3
8.6.0 <= Confluence Data Center <= 8.6.1

修复建议

目前该漏洞已经修复，建议将受影响产(chǎn)品升级到最新(xīn)版本或下面列出的固定版本之一：

Atlassian Confluence Data Center and Server 7.19.17 (LTS)
Atlassian Confluence Data Center and Server 8.4.5
Atlassian Confluence Data Center and Server 8.5.4(LTS)
Atlassian Confluence Data Center 8.6.2或最新(xīn)
Atlassian Confluence Data Center 8.7.1或最新(xīn)

参考链接

https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2023-22522
https://confluence.atlassian.com/security/cve-2023-22522-rce-vulnerability-in-confluence-data-center-and-confluence-server-1319570362.html

产(chǎn)品全景图 >

安(ān)全服務(wù) >

安(ān)全运营 >

首页(yè)

产(chǎn)品与服務(wù)

云安(ān)全

终端安(ān)全

数据安(ān)全

身份安(ān)全

高级威胁治理(lǐ)

网络与通信安(ān)全

安(ān)全管理(lǐ)

SaaS服務(wù)

一體(tǐ)化智能(néng)安(ān)全运营平台

网络管理(lǐ)

信息技(jì )术应用(yòng)创新(xīn)

工(gōng)业安(ān)全

解决方案与案例

客户支持

合作(zuò)共赢

安(ān)全通告

C3安(ān)全大会

投资者关系

关于我们

安(ān)全通告