Atlassian, Confluence Veri Merkezi ve Confluence Sunucusunda uzaktan kod yürütülmesine yol açabilecek kritik bir güvenlik açığını (CVE-2023-22527) düzeltti.
İyi haber şu ki kusur, Aralık 2023’ün başlarında 8.5.4 LTS (Veri Merkezi ve Sunucu) ve 8.6.0 ve 8.7.1 (yalnızca Veri Merkezi) sürümlerinin piyasaya sürülmesiyle düzeltildi; dolayısıyla bazı müşteriler zaten bu sürümlere yükseltme yapmış durumda. veya daha sonraki sürümlere. Kötü haber şu ki bazı müşteriler bunu yapmamış.
Atlassian, bu güvenlik açığından aktif olarak yararlanılıp yararlanılmadığına değinmedi ancak müşterilerin “acilen harekete geçilmeli Confluence örneklerini korumak için.”
CVE-2023-22527 Hakkında
CVE-2023-22527, kimliği doğrulanmamış bir saldırganın Confluence Veri Merkezi ve Confluence Server’ın etkilenen bir sürümünde RCE elde etmesine olanak tanıyan bir şablon ekleme güvenlik açığıdır: 8.0.x, 8.1.x, 8.2.x, 8.3.x, 8.4.x, ve 8.5.0-8.5.3. Kullanılabilir bir geçici çözüm yok.
Şirket bugün (yani, bu güncellemelerin yayınlanmasından bir aydan fazla süre sonra) “Confluence Data Center ve Server’ın en son desteklenen sürümleri, düzenli güncellemeler sırasında sonuçta hafifletildiği için bu güvenlik açığından etkilenmemektedir” dedi.
Atlassian Cloud örnekleri ve Confluence 7.19.x sürümü bu güvenlik açığından etkilenmez.
Müşteriler için ek tavsiyeler
Savunmasız Confluence örnekleri, yıllar boyunca çeşitli tehdit aktörlerinin tercih ettiği hedefler olmuştur.
Şirket, “Confluence örneğine internetten erişilemiyorsa, istismar riski azalır ancak tamamen ortadan kalkmaz” diye ekledi ve mevcut en son sürüme yükseltme yapılması bir kez daha “şiddetle tavsiye edildi”.
Şu anda güncelleme mümkün değilse müşteriler sistemlerini derhal internetten çıkarmalı, örneğin verilerini Confluence örneğinin dışındaki güvenli bir konuma yedeklemeli ve herhangi bir potansiyel kötü amaçlı etkinliğin incelenmesi için yerel güvenlik ekibiyle iletişime geçmelidir.
Ne yazık ki Atlassian olası risk göstergelerini paylaşmadı çünkü “zincirleme saldırılarla birlikte birden fazla giriş noktası olasılığı listelemeyi zorlaştırıyor” [them all].”