Atlassian Confluence — уязвимость CVE-2023-22518

Олег

  • 13 ноября 2023
Atlassian

31 октября была обнаружена уязвимость в Atlassian Confluence Server и Data Center: CVE-2023-22518.

https://confluence.atlassian.com/security/cve-2023-22518-improper-authorization-vulnerability-in-confluence-data-center-and-confluence-server-1311473907.html

Изначально уязвимости присвоили 9.1 баллов по CVSS. Однако позже, с обнаружением активный эксплойтов и шифровальщиков, рейтинг был повышен до 10 баллов.

Исправленные версии Confluence Data Center и Server:

  • 7.19.16
  • 8.3.4
  • 8.4.4
  • 8.5.3
  • 8.6.1

Компенсационные меры

Заблокируйте доступ к следующим конечным точкам инстансов Confluence:

  • /json/setup-restore.action
  • /json/setup-restore-local.action
  • /json/setup-restore-progress.action

Это можно сделать на сетевом уровне или внеся следующие изменения в конфигурационные файлы Confluence. На каждом узле измените и добавьте следующий блок кода (непосредственно перед тегом в конце файла):/<confluence-install-dir>/confluence/WEB-INF/web.xml</web-app>

<security-constraint>
		<web-resource-collection>
			<url-pattern>/json/setup-restore.action</url-pattern>
			<url-pattern>/json/setup-restore-local.action</url-pattern>
			<url-pattern>/json/setup-restore-progress.action</url-pattern>
			<http-method-omission>*</http-method-omission>
		</web-resource-collection>
	<auth-constraint />
</security-constraint>

Теги

💰 Поддержать проект

 

Похожие материалы

ПАК АК-сервер — аппаратное средство проверки фискальных признаков

Олег

Атлас-Карт
Видел уникальную железку, детище компании Атлас-карт. АК-сервер (HSM) — это только часть программно-аппаратного комплекса. Расскажу о плюсах и минусах с точки зрения системного администрирования.

Теги

Маршрутизатор Dionis DPS-3006

Олег

Dionis DPS-3006
Dionis DPS-3006 — это современный российский маршрутизатор, сертифицированный ФСТЭК (МЭ2, НДВ2, СОВ2) и ФСБ (СКЗИ КС1, КС3) России. Ну как российский, ПО российское на базе ядра Linux, а железо сделано в Тайване американской компанией American Portwell Technology, Inc, модель CAR-3040. Маршрутизатор является частью ПАК Дионис NX. Программно-аппаратный комплекс включает в себя маршрутизатор и управляющее его работой ПО Dionis NX.

Теги

Почитать