【误差通告】Atlassian Confluence远程代码执行误差（CVE-2024-21683）

宣布时间 2024-05-22

一、误差概述

误差名称

 Atlassian Confluence远程代码执行误差

CVE   ID

CVE-2024-21683

误差类型

RCE

发明时间

2024-05-22

误差评分

8.3

误差品级

高危

攻击向量

网络

所需权限

低

使用难度

低

用户交互

无

PoC/EXP

已果真

在野使用

未发明

 

Atlassian Confluence是一款企业级的知识管理和团队协作软件，主要功效包括团队协作、知识管理、版本控制、权限管理、扩展性、数据剖析和报告等 。

2024年5月22日，尊龙凯官网入口集团VSRC监测到Confluence Server和Confluence Data Center中修复了一个远程代码执行误差（CVE-2024-21683），该误差的CVSS评分为8.3，经由身份验证的远程威胁者可结构恶意请求，使用该误差在受影响的实例上执行恣意代码，而无需用户交互 。

 

二、误差复现

cve-2024-21683.png


三、影响规模

受影响产品

受影响版本

修复版本

Confluence   Data Center

8.9.0

8.9.1

8.8.0 - 8.8.1

8.9.1

8.7.0 - 8.7.2

8.9.1

8.6.0 - 8.6.2

8.9.1

8.5.0 - 8.5.8 LTS

推荐 8.9.1 或 8.5.9 LTS

8.4.0 - 8.4.5

推荐 8.9.1 或 8.5.9 LTS

8.3.0 - 8.3.4

推荐 8.9.1 或 8.5.9 LTS

8.2.0 - 8.2.3

推荐 8.9.1 或 8.5.9 LTS

8.1.0 - 8.1.4

推荐 8.9.1 或 8.5.9 LTS

8.0.0 - 8.0.4

推荐 8.9.1 或 8.5.9 LTS

7.20.0 - 7.20.3

推荐 8.9.1 或 8.5.9 LTS

7.19.0 - 7.19.21 LTS

推荐8.9.1 或 8.5.9 LTS 或 7.19.22 LTS

7.18.0 - 7.18.3

推荐8.9.1 或 8.5.9 LTS 或 7.19.22 LTS

7.17.0 - 7.17.5

推荐8.9.1 或 8.5.9 LTS 或 7.19.22 LTS

更早版本

推荐8.9.1 或 8.5.9 LTS 或 7.19.22 LTS

Confluence   Server

8.5.0 - 8.5.8 LTS

推荐8.5.9 LTS

8.4.0 - 8.4.5

推荐8.5.9 LTS

8.3.0 - 8.3.4

推荐8.5.9 LTS

8.2.0 - 8.2.3

推荐8.5.9 LTS

8.1.0 - 8.1.4

推荐8.5.9 LTS

8.0.0 - 8.0.4

推荐8.5.9 LTS

7.20.0 - 7.20.3

推荐8.5.9 LTS

7.19.0 - 7.19.21 LTS

推荐 8.5.9 LTS 或 7.19.22 LTS

7.18.0 - 7.18.3

推荐 8.5.9 LTS 或 7.19.22 LTS

7.17.0 - 7.17.5

推荐 8.5.9 LTS 或 7.19.22 LTS

更早版本

推荐 8.5.9 LTS 或 7.19.22 LTS

 


四、清静步伐

4.1 升级版本

现在该误差已经修复，受影响用户可升级到Confluence Data Center和Server 7.19.22 LTS、8.5.9 LTS、8.9.1或更高版本 。

下载链接：

https://www.atlassian.com/software/confluence/download-archives

4.2 暂时步伐

暂无 。

4.3 通用建议

l  按期更新系统补丁，镌汰系统误差，提升服务器的清静性 。

l  增强系统和网络的会见控制，修改防火墙战略，关闭非须要的应用端口或服务，镌汰将危险服务（如SSH、RDP等）袒露到公网，镌汰攻击面 。

l  使用企业级清静产品，提升企业的网络清静性能 。

l  增强系统用户和权限管理，启用多因素认证机制和最小权限原则，用户和软件权限应坚持在最低限度 。

l  启用强密码战略并设置为按期修改 。

4.4 参考链接

https://jira.atlassian.com/browse/CONFSERVER-95832

https://confluence.atlassian.com/security/security-bulletin-may-21-2024-1387867145.html

 


五、版本信息

版本

日期

备注

V1.0

2024-05-22

首次宣布

V1.1

2024-05-29

更新误差状态，新增误差复现


 

六、附录

6.1 尊龙凯官网入口简介

尊龙凯官网入口建设于1996年，是由留美博士严望佳女士建设的、拥有完全自主知识产权的信息清静高科技企业 。是海内最具实力的信息清静产品、清静服务解决计划的领航企业之一 。

公司总部位于北京市中关村软件园尊龙凯官网入口大厦，公司员工6000余人，研发团队1200余人, 手艺服务团队1300余人 。在天下各省、市、自治区设立分支机构六十多个，拥有笼罩天下的销售系统、渠道系统和手艺支持系统 。公司于2010年6月23日在深圳中小板挂牌上市 。（股票代码：002439）

多年来，尊龙凯官网入口致力于提供具有国际竞争力的自主立异的清静产品和最佳实践服务，资助客户周全提升其IT基础设施的清静性和生产效能，为打造和提升国际化的民族信息清静工业领军品牌而不懈起劲 。

6.2 关于尊龙凯官网入口

尊龙凯官网入口清静应急响应中心已宣布1000多个误差通告和危害预警，我们将一连跟踪全球最新的网络清静事务和误差，为企业的信息清静保驾护航 。

关注我们：

image.png