Confluence本地文件泄露缝隙安全公告

颁布功夫 2019-08-29

?缝隙编号和级别


CVE编号：CVE-2019-3394 ，危险级别：严沉 ，CVSS分值：官方未评定


?影响版本


受影响的版本


以下版技巧域内的 Confluence Server 和 Data Center 受到缝隙影响：


6.1.0 <= version < 6.6.16

6.7.0 <= version < 6.13.7

6.14.0 <= version < 6.15.8


?缝隙概述


8 月 28 日 ，Atlassian Confluence官方颁布安全公告 ，建复了存在于Confluence 中的一处本地文件泄露缝隙（CVE-2019-3394） 。


Atlassian Confluence Server和Atlassian Data Center都是澳大利亚Atlassian公司的产品 。Atlassian Confluence Server是一套专业的企业知识治理与协同软件 ，也能够用于构建企业WiKi 。Atlassian Data Center是一套数据中心系统 。


Confluence Server和 Data Center在页面导出职能中存在本地文件泄露缝隙：具佑装增长页面”空间权限的远程攻击者 ，可能读取<install-directory>/confluence/WEB-INF/目录下的肆意文件 。该目录可能蕴含用于与其他服务集成的配置文件 ，可能会泄漏认证痛处 ，例如LDAP认证痛处或其他敏感信息 。


?缝隙验证


暂无POC/EXP 。


?建复建议


升级Confluence到已建复缝隙的更新版本：6.15.8 或 6.13.7 或 6.6.16：

https://www.atlassian.com/software/confluence/download

https://www.atlassian.com/software/confluence/download-archives


同时查抄<install-directory>/confluence/WEB-INF目录及其子目录（尤其是/classes/目录） ，看是否有文件蕴含LDAP或Crowd认证痛处（好比crowd.properties和atlassian-user.xml文件） ，以及其他可能含有敏感信息的文件 。如若发现含有认证痛处的敏感文件 ，建议对有关密码进行批改 。


?参考链接


https://confluence.atlassian.com/doc/confluence-security-advisory-2019-08-28-976161720.html