安全通告
Atlassian Confluence 遠(yuǎn)程代碼執(zhí)行漏洞安全風(fēng)險(xiǎn)通告
發(fā)布日期：2021-8-27
?
漏洞描述
近日，監(jiān)測(cè)到Atlassian官方發(fā)布了Atlassian Confluence OGNL表達(dá)式注入漏洞通告（CVE-2021-26084）。經(jīng)過身份驗(yàn)證的攻擊者（在某些場(chǎng)景下無需身份驗(yàn)證），能利用該漏洞在系統(tǒng)上執(zhí)行任意代碼。當(dāng)Atlassian Confluence在設(shè)置→用戶管理（User Management）→用戶注冊(cè)選項(xiàng)（User Signup Options）啟用了“允許通過注冊(cè)創(chuàng)建賬號(hào)”（Allow people to sign up to create their account）功能時(shí)，非管理員用戶或未經(jīng)身份驗(yàn)證的用戶可以訪問易受攻擊的接口。目前官方已發(fā)布修復(fù)版本和緩解措施，請(qǐng)用戶盡快自查修復(fù)。
漏洞編號(hào)
CVE-2021-26084
漏洞危害
Atlassian Confluence Server and Data Center允許經(jīng)過身份驗(yàn)證的攻擊者（在某些場(chǎng)景下無需身份驗(yàn)證），利用該漏洞在系統(tǒng)上執(zhí)行任意代碼。
漏洞等級(jí)
高危
受影響版本
Atlassian Confluence Server and Data Center version < 6.13.23
6.14.0 ≤ Atlassian Confluence Server and Data Center version < 7.4.11
7.5.0 ?≤ Atlassian Confluence Server and Data Center version < 7.11.5
7.12.0 ≤ Atlassian Confluence Server and Data Center version < 7.12.5
其中Atlassian Confluence Cloud不受影響
修復(fù)方案
1、通用修補(bǔ)建議
根據(jù)影響版本中的信息，升級(jí)到以下安全版本：6.13.23、7.4.11、7.11.6、7.12.5、7.13.0。
2、臨時(shí)修補(bǔ)建議
如果無法立即升級(jí)Confluence，請(qǐng)參考官方通告Mitigation（緩解）一欄里針對(duì)Linux/Windows下用戶給出的臨時(shí)建議。
參考鏈接
- https://confluence.atlassian.com/doc/confluence-security-advisory-2021-08-25-1077906215.html