Confluence OGNL 注入漏洞

关于Confluence OGNL 注入漏洞通告

2022年06月07日，Atlassian官方发布了Confluence OGNL 注入漏洞的风险通告，漏洞编号为CVE-2022-26134，漏洞等级：严重，漏洞评分：9.8。目前该漏洞安全补丁已发布，漏洞细节已公开，POC（概念验证代码）已公开，在野利用已发现。

对此，建议广大用户及时将Confluence升级到最新版本。与此同时，请做好资产自查以及预防工作，以免遭受黑客攻击。

该漏洞利用难度极低，同时利用方式已经公开，接下来将会有更多的在野利用发生，请使用Confluence的用户及时完成修复。

一、漏洞基本情况

CVE: CVE-2022-26134

组件: Confluence Server & Confluence Data Center

漏洞类型: 代码执行

影响: 服务器接管

简述:Confluence Server和Confluence Data Center上存在一个OGNL注入漏洞，允许经过身份验证或在某些情况下未授权的攻击者，在Confluence Server或Confluence Data Center实例上执行任意代码。

二、漏洞影响范围

目前所有未安装最新补丁的 Confluence 都受到该漏洞影响，建议尽快升级到安全版本。

三、网络工作安全提示

鉴于本次发布的漏洞影响范围大，潜在危害程度高，及时开展以下几方面工作：

（一）修补建议

1. 替换 xwork 组件 jar

Confluence 7.15.0 - 7.18.0

首先需要停止正在运行的 Confluence

下载新的 xwork 组件

xwork-1.0.3-atlassian-10.jar

https://packages.atlassian.com/maven-internal/opensymphony/xwork/1.0.3-atlassian-10/xwork-1.0.3-atlassian-10.jar

3.临时修补建议

对 Confluence 组件进行集中升级到安全版本

下载地址为

Confluence Server Download Archives | Atlassian

最后

以上就是机智信封为你收集整理的Confluence OGNL 注入漏洞的全部内容，希望文章能够帮你解决Confluence OGNL 注入漏洞所遇到的程序开发问题。

如果觉得靠谱客网站的内容还不错，欢迎将靠谱客网站推荐给程序员好友。