该漏洞风险大，请加以重视，并尽快修复！

1、 漏洞描述

Confluence Data Center 和 Confluence Server存在安全漏洞，该漏洞源于授权管理不当。

所有版本的Confluence Data Center 和 Confluence Server都受此漏洞影响。此授权不当漏洞允许未经身份验证的攻击者重置 Confluence 并创建 Confluence 实例管理员帐户。使用该账户，攻击者可以执行 Confluence 实例管理员可以执行的所有管理操作，导致完全丧失保密性、完整性和可用性。

任何在可在互联网上公开访问的Confluence Data Center 和 Confluence Server存在严重风险，需要立即修复。

2、影响版本

Atlassian confluence < 7.19.16
Atlassian confluence < 8.3.4
Atlassian confluence < 8.4.4
Atlassian confluence < 8.5.3
Atlassian confluence < 8.6.1

3、修复版本

Atlassian confluence 7.19.16
Atlassian confluence 8.3.4
Atlassian confluence 8.4.4
Atlassian confluence 8.5.3
Atlassian confluence 8.6.1


4、无法升级情况下的临时修复办法

  1. 做好系统备份。（非常重要，被攻击后仍可以恢复）
  2. 如果可以，先断开互联网访问。
  3. 通过阻止对Confluence实例上以下接口的访问来回避攻击：
    1. /json/setup-restore.action
    2. /json/setup-restore-local.action
    3. /json/setup-restore-progress.action

      可以在网络现在实现；也可以通过对Confluence配置文件进行以下更改来实现，在每个Confluence节点上，修改 /<confluence-install-dir>/confluence/WEB-INF/web.xml，并添加以下代码块（在文件末尾的 </web-app> 标记之前添加）。

<security-constraint>
		<web-resource-collection>
			<url-pattern>/json/setup-restore.action</url-pattern>
			<url-pattern>/json/setup-restore-local.action</url-pattern>
			<url-pattern>/json/setup-restore-progress.action</url-pattern>
			<http-method-omission>*</http-method-omission>
		</web-resource-collection>
	<auth-constraint />
</security-constraint>
CODE


5、技术支持渠道

如需技术支持，请联系Atlassian技术支持（https://support.atlassian.com），或通过下方链接关注公众号“范德敏特”获取技术支持。


欢迎 点赞、关注、收藏、订阅。

北京范德敏特科技，DevOps专家，https://www.devpod.cn。​基于Atlassian Open DevOps方案，提供Jira+Confluence+Gitlab+......的专业服务。

请关注公众号“范德敏特”，获取更多信息和福利。