Atlassian Confluence 遠(yuǎn)程代碼執(zhí)行漏洞預(yù)警（CVE-2021-26084）

2021-08-26

一、概要

近日，華為云關(guān)注到Atlassian官方發(fā)布安全公告，披露旗下產(chǎn)品Confluence Server、Confluence Data Center在特定版本中存在一處遠(yuǎn)程代碼執(zhí)行漏洞（CVE-2021-26084）。經(jīng)過身份驗證的攻擊者（在某些情況下未經(jīng)身份驗證的攻擊者）通過構(gòu)造惡意請求，造成OGNL注入，實現(xiàn)遠(yuǎn)程代碼執(zhí)行。

Atlassian Confluence是一個專業(yè)的企業(yè)知識管理與協(xié)同軟件，可用于構(gòu)建企業(yè)wiki。華為云提醒使用Atlassian Confluence的用戶及時安排自檢并做好安全加固。

參考鏈接：https://confluence.atlassian.com/doc/confluence-security-advisory-2021-08-25-1077906215.html

二、威脅級別

威脅級別：【嚴(yán)重】

（說明：威脅級別共四級：一般、重要、嚴(yán)重、緊急）

三、漏洞影響范圍

影響版本：

Atlassian Confluence Server/Data Center < 6.13.23

Atlassian Confluence Server/Data Center < 7.4.11

Atlassian Confluence Server/Data Center < 7.11.6

Atlassian Confluence Server/Data Center < 7.12.5

Atlassian Confluence Server/Data Center < 7.13.0

安全版本：

Atlassian Confluence Server/Data Center 6.13.23

Atlassian Confluence Server/Data Center 7.4.11

Atlassian Confluence Server/Data Center 7.11.6

Atlassian Confluence Server/Data Center 7.12.5

Atlassian Confluence Server/Data Center 7.13.0

四、安全建議

目前官方已在高版本中修復(fù)了該漏洞，請受影響的用戶升級至安全版本。

https://www.atlassian.com/software/confluence/download-archives

若無法及時升級的用戶可根據(jù)Atlassian官方提供的建議進(jìn)行緩解，詳見參考鏈接中“Mitigation”章節(jié)內(nèi)容。

華為云WAF具備對該漏洞防御能力。華為云WAF用戶將“Web基礎(chǔ)防護(hù)”狀態(tài)設(shè)置為“攔截”模式，具體方法請參見配置Web基礎(chǔ)防護(hù)規(guī)則。

注：修復(fù)漏洞前請將資料備份，并進(jìn)行充分測試。