Confluence SSRF及远程代码执行漏洞处置手册

阅读： 2,993

近日，Confluence官方发布了SSRF漏洞（CVE-2019-3395）及远程代码执行漏洞（CVE-2019-3396）的安全通告，攻击者利用漏洞可实现远程代码执行、服务器端请求伪造。此次通告的漏洞分别存在于WebDAV、及Widget连接器中。

■ 预警编号 NS-2019-0012

■ 发布日期 2019-04-09

■ 危害等级高，攻击者利用此漏洞可执行任意代码，目前PoC已公开。

漏洞概述

CVE-2019-3395 WebDAV

2018年6月18日前发布的Confluence Server及Data Center均受此漏洞影响。此漏洞存在于WebDAV插件中，攻击者可远程利用此漏洞使Confluence服务器或Data Center发送任意HTTP或WebDAV请求，实现服务器端请求伪造（SSRF）。

官方已针对此漏洞发布6.8.5、6.9.3修复版本。

CVE-2019-3396 Widget Connector

该漏洞为server-side template injection服务器端模板注入漏洞，存在于Confluence Server及Data Center的Widget Connector插件中。攻击者成功利用此漏洞可实现目录穿越及远程代码执行。

官方已针对此漏洞发布6.12.3、6.13.3、6.14.2修复版本。

目前PoC已经公开，漏洞利用成功的截图如下：

参考链接：

https://confluence.atlassian.com/doc/confluence-security-advisory-2019-03-20-966660264.html

影响范围

受影响版本

Confluence 1.*.*、*.*、3.*.*、4.*.*、5.*.*
Confluence 6.0.*、1.*、6.2.*、6.3.*、6.4.*、6.5.*
Confluence 6.6.* < 6.6.12
Confluence 6.7.*、8.*、6.9.*、6.10.*、6.11.*
Confluence 6.12.* < 6.12.3
Confluence 6.13.* < 6.13.3
Confluence 6.14.* < 6.14.2

不受影响版本

Confluence >= 6.6.12
Confluence >= 6.12.3
Confluence >= 6.13.3
Confluence >= 6.14.2
Confluence 15.1

Confluence官方指出Confluence Cloud不受此次通告漏洞影响。

影响排查

用户可通过查看当前Confluence版本是否在受影响范围内，对当前服务是否受此漏洞影响进行排查。点击，选择“关于Confluence”，即可对当前版本进行查看。

修复建议

官方升级

官方建议用户升级至最新版本6.15.1，以保证服务的安全性及稳定性。下载链接如下：

https://www.atlassian.com/software/confluence/download/

https://atlassian.com/software/confluence/download/data-center

若无法升级至最新版本，可参考下表，升级至对应修复版本：

当前版本	修复版本
6.12.0, 6.12.1, 6.12.2	6.12.3
6.14.0, 6.14.1	6.14.2
6.6.0, 6.6.1, 6.6.2, 6.6.3, 6.6.4, 6.6.5, 6.6.6, 6.6.7, 6.6.8, 6.6.9, 6.6.10, 6.6.11	6.6.12
6.13.0, 6.13.1, 6.13.2	6.13.3
其他早期版本	可升级至6.14.2、6.13.3、6.6.12任一版本。

升级widgetconnector插件至修复版本

用户可通过替换widgetconnector-*.jar文件至修复版widgetconnector-3.1.4，以实现对漏洞CVE-2019-3396的修复。具体操作步骤如下：

找到插件widgetconnector-*.jar文件所在位置，linux系统下可通过下列命令查找：

find / -name “widgetconnector-*”

将当前widgetconnector-*.jar文件替换为安全版本，下载链接如下：

https://packages.atlassian.com/maven-public/com/atlassian/confluence/extra/widgetconnector/widgetconnector/3.1.4/widgetconnector-3.1.4.jar

重启服务，即可完成修复。

禁用不安全插件

若暂时不方便升级至修复版本，也可点击“设置” ->Manage apps/add-ons选择System，将下列Confluence插件禁用。

WebDAV plugin
Widget Connector

注：

若禁用Widget Connector插件， Widget Connector 指令将不可用，该指令是用于展示YouTube、Vimeo及推特网站内容的，禁用该指令后，用户可能会遇到‘unknown macro’错误。
若禁用WebDAV插件，将无法使用WebDAV客户端连接至Confluence。禁用此插件也将自动禁用Office Connector插件。

在完成升级后，需手动启用下列插件：

WebDAV plugin
Widget Connector
Office Connector.

声明

本安全公告仅用来描述可能存在的安全问题，绿盟科技不为此安全公告提供任何保证或承诺。由于传播、利用此安全公告所提供的信息而造成的任何直接或者间接的后果及损失，均由使用者本人负责，绿盟科技以及安全公告作者不为此承担任何责任。

关于绿盟科技

北京神州绿盟信息安全科技股份有限公司（简称绿盟科技）成立于2000年4月，总部位于北京。在国内外设有30多个分支机构，为政府、运营商、金融、能源、互联网以及教育、医疗等行业用户，提供具有核心竞争力的安全产品及解决方案，帮助客户实现业务的安全顺畅运行。

基于多年的安全攻防研究，绿盟科技在网络及终端安全、互联网基础安全、合规及安全管理等领域，为客户提供入侵检测/防护、抗拒绝服务攻击、远程安全评估以及Web安全防护等产品以及专业安全服务。

北京神州绿盟信息安全科技股份有限公司于2014年1月29日起在深圳证券交易所创业板上市交易，股票简称：绿盟科技，股票代码：300369。

Confluence SSRF及远程代码执行漏洞处置手册