【漏洞预警】Confluence SSRF及远程代码执行漏洞处置手册
【漏洞预警】Confluence SSRF及远程代码执行漏洞处置手册
预警编号:NS-2019-0012
2019-04-09
TAG： | Confluence、远程代码执行、SSRF、CVE-2019-3395、CVE-2019-3396 |
|---|---|
危害等级： | 高，攻击者利用此漏洞可执行任意代码，目前PoC已公开。 |
版本： | 1.0 |
1
漏洞概述
近日，Confluence官方发布了SSRF漏洞（CVE-2019-3395）及远程代码执行漏洞（CVE-2019-3396）的安全通告，攻击者利用漏洞可实现远程代码执行、服务器端请求伪造。此次通告的漏洞分别存在于WebDAV、及Widget连接器中。
- CVE-2019-3395 WebDAV
2018年6月18日前发布的Confluence Server及Data Center均受此漏洞影响。此漏洞存在于WebDAV插件中，攻击者可远程利用此漏洞使Confluence服务器或Data Center发送任意HTTP或WebDAV请求，实现服务器端请求伪造（SSRF）。
官方已针对此漏洞发布6.8.5、6.9.3修复版本。
- CVE-2019-3396 Widget Connector
该漏洞为server-side template injection服务器端模板注入漏洞，存在于Confluence Server及Data Center的Widget Connector插件中。攻击者成功利用此漏洞可实现目录穿越及远程代码执行。
目前PoC已经公开，漏洞利用成功的截图如下：
参考链接：
https://confluence.atlassian.com/doc/confluence-security-advisory-2019-03-20-966660264.html
SEE MORE →
2影响范围
受影响版本
- Confluence 1.*.*、2.*.*、3.*.*、4.*.*、5.*.*
- Confluence 6.0.*、6.1.*、6.2.*、6.3.*、6.4.*、6.5.*
- Confluence 6.6.* < 6.6.12
- Confluence 6.7.*、6.8.*、6.9.*、6.10.*、6.11.*
- Confluence 6.12.* < 6.12.3
- Confluence 6.13.* < 6.13.3
- Confluence 6.14.* < 6.14.2
不受影响版本
- Confluence >= 6.6.12
- Confluence >= 6.12.3
- Confluence >= 6.13.3
- Confluence >= 6.14.2
- Confluence 6.15.1
3影响排查
用户可通过查看当前Confluence版本是否在受影响范围内，对当前服务是否受此漏洞影响进行排查。点击
，选择“关于Confluence”，即可对当前版本进行查看。
4修复建议
4.1 官方升级
官方建议用户升级至最新版本6.15.1，下载链接如下：
https://www.atlassian.com/software/confluence/download/
https://atlassian.com/software/confluence/download/data-center
若无法升级这最新版本，可参考下表，升级至对应修复版本：
当前版本 | 修复版本 |
|---|---|
6.12.0, 6.12.1, 6.12.2 | 6.12.3 |
6.14.0, 6.14.1 | 6.14.2 |
6.6.0, 6.6.1, 6.6.2, 6.6.3, 6.6.4, 6.6.5, 6.6.6, 6.6.7, 6.6.8, 6.6.9, 6.6.10, 6.6.11 | 6.6.12 |
6.13.0, 6.13.1, 6.13.2 | 6.13.3 |
其他早期版本 | 可升级至6.14.2、6.13.3、6.6.12任一版本。 |
4.2 升级widgetconnector插件至修复版本
用户可通过替换widgetconnector-*.jar文件至修复版widgetconnector-3.1.4，以实现对漏洞CVE-2019-3396的修复。具体操作步骤如下：
1、找到插件widgetconnector-*.jar文件所在位置，linux系统下可通过下列命令查找：
find / -name "widgetconnector-*" |
|---|
2、将当前widgetconnector-*.jar文件替换为安全版本，下载链接如下：
https://packages.atlassian.com/maven-public/com/atlassian/confluence/extra/widgetconnector/widgetconnector/3.1.4/widgetconnector-3.1.4.jar
3、重启服务，即可完成修复。
4.3 禁用不安全插件
若暂时不方便升级至修复版本，也可点击“设置”
->Manage apps/add-ons选择System，将下列Confluence插件禁用。
- WebDAV plugin
- Widget Connector
注：
- 若禁用Widget Connector插件，Widget Connector 指令将不可用，该指令是用于展示YouTube、Vimeo及推特网站内容的，禁用该指令后，用户可能会遇到‘unknown macro’错误。
- 若禁用WebDAV插件，将无法使用WebDAV客户端连接至Confluence。禁用此插件也将自动禁用Office Connector插件。
在完成升级后，需手动启用下列插件：
- WebDAV plugin
- Widget Connector
- Office Connector.
END
作者：绿盟科技安全服务部
声明
本安全公告仅用来描述可能存在的安全问题，绿盟科技不为此安全公告提供任何保证或承诺。由于传播、利用此安全公告所提供的信息而造成的任何直接或者间接的后果及损失，均由使用者本人负责，绿盟科技以及安全公告作者不为此承担任何责任。
绿盟科技拥有对此安全公告的修改和解释权。如欲转载或传播此安全公告，必须保证此安全公告的完整性，包括版权声明等全部内容。未经绿盟科技允许，不得任意修改或者增减此安全公告内容，不得以任何方式将其用于商业目的。