Confluence本地文件泄露漏洞(CVE-2019-3394)

• • 腾讯云建站教程
  • 宝塔面板建站教程
  • 老薛主机建站教程
  • SiteGround建站教程

2019 年 8 月 29 日，阿里云应急响应中心监测到 Confluence 官方发布安全更新，指出 Confluence Server 与 Confluence Data Center 在页面导出功能中存在本地文件泄露漏洞(CVE-2019-3394)，远程攻击者可以利用此漏洞读取 WEB-INF 目录任意文件，包括程序源码和 LDAP 证书等，风险较大。

漏洞描述

Confluence Server 和 Confluence Data Center 在页面导出功能中存在本地文件泄露漏洞，该漏洞要求攻击者登录，且需要”创建文件空间”权限才能成功利用。

漏洞评级

• CVE-2019-3394 高危

影响软件

• Confluence Server
• Confluence Data Center

安全版本

• 6.6.16
• 6.13.7
• 6.15.8

影响版本

• 6.1.0 <= version < 6.6.16
• 6.7.0 <= version < 6.13.7
• 6.14.0 <= version < 6.15.8

安全建议

1、升级至安全版本，下载链接：

• https://www.atlassian.com/software/confluence/download/
• https://atlassian.com/software/confluence/download/data-center

2、官方临时缓解办法：

设置属性 atlassian.confluence.export.word.max.embedded.images=0，并重启应用，详见官方操作指引

3、云盾 WAF已可防御此漏洞攻击

相关链接

• https://confluence.atlassian.com/doc/confluence-security-advisory-2019-08-28-976161720.html