漏洞编号
CVE-2022-26138
漏洞摘要
当 Confluence Server 或 Data Center 上的Questions for Confluence 应用程序启用时,它会创建一个名为 的 Confluence 用户帐户disabledsystemuser
。此帐户旨在帮助将数据从应用程序迁移到 Confluence Cloud 的管理员。该disabledsystemuser
帐户使用硬编码密码创建并添加到confluence-users
组中,默认情况下允许查看和编辑 Confluence 中的所有非受限页面。知道硬编码密码的远程、未经身份验证的攻击者可以利用它登录 Confluence 并访问该组有权访问的任何页面。confluence-users
尽管 Atlassian 尚未收到任何关于此问题在野外被利用的报告,但在下载和查看受影响的应用程序版本后,很难获得硬编码密码。
严重性
Atlassian 将此漏洞的严重级别评为严重。该量表允许我们将严重程度分为严重、高、中或低。这是我们的评估,您应该评估它对您自己的 IT 环境的适用性。
如何确定您是否受到影响
如果 Confluence Server 或 Data Center 实例具有包含以下信息的活动用户帐户,则会受到影响:
用户:
disabledsystemuser
用户名:
disabledsystemuser
电子邮件:
dontdeletethisuser@email.com
如果之前已经安装和卸载了 Questions for Confluence 应用程序,则此帐户可能存在。
如果此帐户未显示在活动用户列表中,则 Confluence 实例不受影响。
受影响的版本
这些是disabledsystemuser
使用硬编码密码创建帐户的应用程序版本。没有主动安装任何这些版本的应用程序的 Confluence 安装可能仍会受到影响。有关详细信息,请参阅上面的如何确定您是否受到影响部分和下面的补救部分。
Questions for Confluence 2.7.x |
|
Questions for Confluence 3.0.x |
|
修复
卸载 Confluence 应用程序的问题不会修复此漏洞。卸载应用程序后,该disabledsystemuser
帐户不会自动删除。如果您已验证 Confluence Server 或 Data Center 实例受到影响,下面列出了两种同样有效的修复此漏洞的方法。
这些选项可以禁用或删除该disabledsystemuser
帐户。配置从应用程序到 Confluence Cloud 的数据迁移现在是一个手动过程。
使用到Questions for Confluence365娱乐场体育投注_365现金官网_365bet备用器下载 的
选项 1:更新到 Confluence 的非易受攻击版本
将 Confluence 应用程序Questions for Confluence更新为固定版本:
2.7.x >= 2.7.38(与 Confluence 6.13.18 到 7.16.2 兼容)
Versions >= 3.0.5(与 Confluence 7.16.3 及更高版本兼容)
有关如何更新应用程序的更多信息,请参阅:
https://confluence.atlassian.com/upm/updating-apps-273875710.html
Confluence 应用程序的问题修复版本停止创建disabledsystemuser
用户帐户,如果已创建,则将其从系统中删除。
未使用Questions for Confluence365娱乐场体育投注_365现金官网_365bet备用器下载 的
选项 2:禁用或删除disabledsystemuser
帐户
搜索该disabledsystemuser
帐户并将其禁用或删除。有关如何禁用或删除帐户的说明(包括对两个选项之间差异的说明),请参阅:
https://confluence.atlassian.com/doc/delete-or-disable-users-138318.html
如何寻找证据
要确定是否有人成功登录该disabledsystemuser
帐户,请参阅以下文档,该文档提供了有关如何获取用户上次登录时间列表的说明:
如果最后一次认证时间为disabledsystemuser
,则null
表示该账户存在但没有人登录过。
https://jira.atlassian.com/browse/CONFSERVER-79483
https://confluence.atlassian.com/doc/confluence-security-advisory-2022-07-20-1142446709.html