Podatność typu template injection w starszych wersjach Atlassian Confluence Data Center i Server umożliwia nieuwierzytelnionemu atakującemu zdalne wykonanie kodu (RCE). Zagrożenie jest krytyczne — nie wymaga żadnych uprawnień ani interakcji użytkownika, a podatność jest aktywnie wykorzystywana przez atakujących.
▸ Pokaż oryginał (EN)
A template injection vulnerability on older versions of Confluence Data Center and Server allows an unauthenticated attacker to achieve RCE on an affected instance. Customers using an affected version must take immediate action. Most recent supported versions of Confluence Data Center and Server are not affected by this vulnerability as it was ultimately mitigated during regular version updates. However, Atlassian recommends that customers take care to install the latest version to protect their instances from non-critical vulnerabilities outlined in Atlassian’s January Security Bulletin.
Atakujący bez żadnego uwierzytelnienia może wstrzyknąć złośliwy payload do silnika szablonów (template engine) używanego przez Confluence. Luka klasyfikowana jako CWE-74 (injection) pozwala na osadzenie i wykonanie dowolnego kodu po stronie serwera poprzez spreparowane żądanie HTTP. Podatność dotyczy starszych wersji produktu — nowsze wersje nie są nią dotknięte, ponieważ problem został usunięty w trakcie regularnych aktualizacji.
Nieuwierzytelniony atakujący może przejąć pełną kontrolę nad serwerem Confluence, uzyskując możliwość odczytu i modyfikacji danych, a także wykonania dowolnych poleceń systemowych w kontekście procesu aplikacji.
Należy natychmiast zaktualizować Confluence Data Center i Server do najnowszej obsługiwanej wersji zgodnie z referencjami producenta dostępnymi pod adresem: https://confluence.atlassian.com/pages/viewpage.action?pageId=1333335615. Atlassian rekomenduje instalację najnowszej wersji w celu ochrony przed tą oraz innymi podatnościami.
Starsze wersje Atlassian Confluence Data Center oraz Atlassian Confluence Server — szczegółowe numery wersji wskazane w referencjach producenta (biuletyn bezpieczeństwa Atlassian ze stycznia 2024).
Podatność jest uwzględniona w katalogu CISA KEV (aktywnie exploitowana). Publiczny exploit w formie demonstracji SSTI injection został opublikowany w serwisie Packet Storm Security (packetstormsecurity.com). Producent wydał dedykowany biuletyn bezpieczeństwa w styczniu 2024 r.
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:HAtlassian Confluence Data Center
APPAtlassian8.7.08.0.0 – 8.5.4 (bez)Atlassian Confluence Server
APPAtlassian8.0.0 – 8.5.4 (bez)
CISA KEV — szczegółyi
- Dostawcai
- Atlassian ↗
- Produkti
- Confluence Data Center and Server
- Data dodania do KEVi
- 24 stycznia 2024
- Termin remediation (USA)i
- 14 lutego 2024(po terminie)
- Ransomwarei
- Aktywne kampanie ransomware używają tej podatności
Zastosuj mitygacje zgodnie z instrukcjami producenta lub zaprzestań użytkowania produktu, jeśli mitygacje są niedostępne.
▸ Pokaż oryginał (EN)
Apply mitigations per vendor instructions or discontinue use of the product if mitigations are unavailable.
Atlassian Confluence Data Center i Server zawierają niezautentykowaną lukę OGNL template injection, która może prowadzić do RCE.
▸ Pokaż oryginał (EN)
Atlassian Confluence Data Center and Server contain an unauthenticated OGNL template injection vulnerability that can lead to remote code execution.
Powiązane podatności
All versions of Confluence Data Center and Server are affected by this unexploited vulnerability. This Imprope...
Atlassian has been made aware of an issue reported by a handful of customers where external attackers may have...
The Atlassian Questions For Confluence app for Confluence Server and Data Center creates a Confluence user acc...
In affected versions of Confluence Server and Data Center, an OGNL injection vulnerability exists that would a...
In affected versions of Confluence Server and Data Center, an OGNL injection vulnerability exists that would a...