Atlassian Confluence — уязвимость CVE-2023-22518

Олег

  • 13 ноября 2023
Atlassian

31 октября была обнаружена уязвимость в Atlassian Confluence Server и Data Center: CVE-2023-22518.

https://confluence.atlassian.com/security/cve-2023-22518-improper-authorization-vulnerability-in-confluence-data-center-and-confluence-server-1311473907.html

Изначально уязвимости присвоили 9.1 баллов по CVSS. Однако позже, с обнаружением активный эксплойтов и шифровальщиков, рейтинг был повышен до 10 баллов.

Исправленные версии Confluence Data Center и Server:

  • 7.19.16
  • 8.3.4
  • 8.4.4
  • 8.5.3
  • 8.6.1

Компенсационные меры

Заблокируйте доступ к следующим конечным точкам инстансов Confluence:

  • /json/setup-restore.action
  • /json/setup-restore-local.action
  • /json/setup-restore-progress.action

Это можно сделать на сетевом уровне или внеся следующие изменения в конфигурационные файлы Confluence. На каждом узле измените и добавьте следующий блок кода (непосредственно перед тегом в конце файла):/<confluence-install-dir>/confluence/WEB-INF/web.xml</web-app>

<security-constraint>
		<web-resource-collection>
			<url-pattern>/json/setup-restore.action</url-pattern>
			<url-pattern>/json/setup-restore-local.action</url-pattern>
			<url-pattern>/json/setup-restore-progress.action</url-pattern>
			<http-method-omission>*</http-method-omission>
		</web-resource-collection>
	<auth-constraint />
</security-constraint>

Теги

💰 Поддержать проект

 

Похожие материалы

Ошибка при установке Secret Net 7 — не удаётся записать значение в раздел

Олег

Secret Net
При установке Secret Net 7 иногда может возникнуть ошибка вида "Не удаётся записать значение в раздел". Дальше идёт указание ветки реестра и значения, которое не удаётся записать. Ошибка наблюдалась на Windows 7 x64 (и x86), а также на Windows Server 2012 R2. Инсталлятор Secret Net 7 запускался от имени администратора. Изменение прав доступа к веткам реестра не помогло решению проблемы.

Теги

Почитать