Atlassian 发布修复 Confluence 零日漏洞

关键要点

• Atlassian 修复了 Confluence Data Center 和 Server 的一个零日远程代码执行漏洞。
• 该漏洞允许未经认证的用户在 Confluence 实例上执行任意代码。
• 确认修复的版本包括：7.4.17, 7.13.7, 7.14.3, 7.15.2, 7.16.4, 7.17.4 和 7.18.1。
• Atlassian Cloud 平台不受此漏洞影响。

在上周五，Atlassian 发布了针对 Confluence Data Center 和 Server中一个零日远程代码执行漏洞的修复。这一严重漏洞可使未经认证的用户在 Confluence 服务器或数据中心实例上执行任意代码。

在一篇中，Atlassian确认已修复以下版本：7.4.17，7.13.7，7.14.3，7.15.2，7.16.4，7.17.4 和 7.18.1。

Atlassian 表示，对于通过 Atlassian.net 域访问 Confluence 的客户，因其被 Atlassian托管，因此没有受到影响。经过调查，该公司未发现 被利用的证据。

这个严重的漏洞————影响了所有支持的 Confluence Server 和 Data Center 版本。所有在 1.3.0 版本之后的 ConfluenceServer 和 Data Center 都受到影响。

Atlassian 在被告知 Confluence 零日漏洞（5 月 31 日）与发布公告（6 月 2 日）之间的等待时间不到 72 小时，TheMedia Trust 的 CEO Chris Olson 表示，考虑到这一情况，这是合理的调查和披露时间。

“鉴于这一漏洞的严重性，客户有权要求尽快修补——不过，正如我们在
事件后看到的，匆忙修补往往会造成更多的伤害。” Olson说。“供应商在遇到新的远程代码执行漏洞时面临着严重的限制，因此组织在前后端积极监控其数字生态系统的重要性更加凸显。”

Vulcan Cyber 的高级技术工程师 Mike Parkin 指出，Atlassian 的 Confluence Server 和
Confluence Data Center 在多个行业中被广泛使用，因此未经认证的远程代码执行漏洞成为了一大问题。Parkin表示，[网络安全和基础设施安全局] 迅速将该 CVE添加到其，这表明了预期的风险。

“Atlassian 表示，他们预计在公告当天发布一个补丁，这一反应速度相当快。” Parkin说。“在补丁到达之前，将实例隔离于公开互联网可以缓解该漏洞，同时在任何情况下都是最佳实践。幸运的是，他们广泛使用的云平台目前没有任何已知影响。”

BluBracket 的产品和开发者赋能负责人 Casey Bisson 表示，超过 20 万家企业使用 Atlassian 工具。Bisson表示，Confluence 维基页面通常是内部文档的“首选”，因此其中的漏洞可能会暴露大多数公司认为仅限内部用户的操作细节。

Bisson 补充道，BluBracket 最近发布的 可帮助企业发现潜在风险，以防其维基被攻