Atlassian Confluence Data Center及Confluence Server远程代码执行漏洞安全风险通告

原创 QAX CERT 奇安信 CERT 2023-12-06 17:15

● 
点击↑蓝字关注我们，获取更多安全风险通告

漏洞概述
漏洞名称	Atlassian Confluence Data Center 及 Confluence Server 远程代码执行漏洞
漏洞编号	QVD-2023-46430、CVE-2023-22522
公开时间	2023-12-06	影响对象数量级	十万级
奇安信评级	高危	CVSS 3.1分数	9.0
威胁类型	代码执行	利用可能性	中
POC状态	未公开	在野利用状态	未发现
EXP状态	未公开	技术细节状态	未公开
危害描述：允许经过身份验证的攻击者（包括具有匿名访问权限的攻击者）在受影响的实例上实现远程代码执行。

01

漏洞详情

>
>
>
>

影响组件

Atlassian Confluence Data Center是面向大型企业和组织的高可用性、可扩展性和高性能版本，Atlassian Confluence Server是适用于中小型企业和组织的自托管版本。

>
>
>
>

漏洞描述

近日，奇安信CERT监测到Atlassian Confluence Data Center 及 Confluence Server远程代码执行漏洞(CVE-2023-22522)
，该漏洞是由模板注入引起的，经过身份验证的攻击者（包括具有匿名访问权限的攻击者）可以将不安全的用户输入注入 Confluence 页面，最终成功利用此漏洞的攻击者可在受影响的实例上实现远程代码执行。

鉴于此漏洞影响范围较大，建议客户尽快做好自查及防护。

02

影响范围

>
>
>
>

影响版本

Confluence Data Center and Server 4.x.x

Confluence Data Center and Server 5.x.x

Confluence Data Center and Server 6.x.x

Confluence Data Center and Server 7.x.x

Confluence Data Center and Server 8.0.x

Confluence Data Center and Server 8.1.x

Confluence Data Center and Server 8.2.x

Confluence Data Center and Server 8.3.x

8.4.0 <= Confluence Data Center and Server <= 8.4.4

8.5.0 <= Confluence Data Center and Server <= 8.5.3

8.6.0 <= Confluence Data Center <= 8.6.1

>
>
>
>

不受影响版本

Atlassian Cloud站点

>
>
>
>

其他受影响组件

无

03

受影响资产情况

奇安信鹰图资产测绘平台数据显示，Atlassian Confluence Data Center及Confluence Server远程代码执行漏洞(CVE-2023-22522)关联的国内风险资产总数为237796个，关联IP总数为9730个。国内风险资产分布情况如下：

Atlassian Confluence Data Center及Confluence Server远程代码执行漏洞(CVE-2023-22522)关联的全球风险资产总数为504891个，关联IP总数为52201个。全球风险资产分布情况如下：

04

处置建议

>
>
>
>

安全更新

目前官方已有可更新版本，建议受影响用户升级至：

Confluence Data Center and Server 7.19.17 (LTS) 

Confluence Data Center and Server 8.4.5

Confluence Data Center and Server 8.5.4 (LTS)

Confluence Data Center >= 8.6.2 

Confluence Data Center >= 8.7.1

>
>
>
>

缓解措施

若暂时无法修复，可采取以下缓解措施：

1、限制应用外网可访问IP；

2、建议备份实例，可参考：https://confluence.atlassian.com/doc/production-backup-strategy-38797389.html

05

参考资料

[1]https://confluence.atlassian.com/security/cve-2023-22522-rce-vulnerability-in-confluence-data-center-and-confluence-server-1319570362.html

06

时间线

2023年12月6日，奇安信 CERT发布安全风险通告。

07

漏洞情报服务

奇安信ALPHA威胁分析平台已支持漏洞情报订阅服务：

奇安信 CERT

致力于
第一时间为企业级用户提供权威漏洞情报和有效
解决方案。

点击↓阅读原文，到
ALPHA威胁分析平台
订阅更多漏洞信息。