Atlassian Confluence 模板注入代码执行漏洞 (CVE-2023-22527)

漏洞类型 表达式语言注入 发现时间 2024-01-16 漏洞等级 严重
MPS编号 MPS-2023-0028 CVE编号 CVE-2023-22527 漏洞影响广度 一般

漏洞危害

OSCS 描述
Confluence 是由Atlassian公司开发的企业协作和文档管理工具。
Atlassian Confluence Data Center/Server 受影响版本中存在模版注入漏洞,攻击者通过构造恶意请求,可以在未登录的情况下在Confluence实例上触发远程代码执行漏洞。
漏洞已在8.5.4版本中修复,可能与velocity引擎中对snakeyaml、antlr等组件的支持有关
参考链接:https://www.oscs1024.com/hd/MPS-2023-0028

影响范围及处置方案

OSCS 平台影响范围和处置方案

影响范围 处置方式 处置方法
confluence_data_center [8.0.0, 8.5.4) 升级 将 confluence_data_center 升级至 8.5.4 及以上版本
升级 将confluence_data_center升级至 8.6.0 及以上版本
升级 将confluence_data_center升级至 8.7.1 及以上版本
confluence_server [8.0.0, 8.5.4) 升级 将 confluence_server 升级至 8.5.4 及以上版本
参考链接:https://www.oscs1024.com/hd/MPS-2023-0028

排查方式

方式1:使用漏洞检测CLI工具来排查使用文档:https://www.murphysec.com/docs/faqs/integration/cli.html
方式2:使用漏洞检测IDEA插件排查使用文档:https://www.murphysec.com/docs/faqs/integration/jetbrains-ide-plugin.html
方式3:接入GitLab进行漏洞检测排查使用文档:https://www.murphysec.com/docs/faqs/integration/gitlab.html
更多排查方式:https://www.murphysec.com/docs/faqs/integration/

本文参考链接

https://www.oscs1024.com/hd/MPS-2023-0028

https://confluence.atlassian.com/security/cve-2023-22527-rce-remote-code-execution-vulnerability-in-confluence-data-center-and-confluence-server-1333990257.html

https://nvd.nist.gov/vuln/detail/CVE-2023-22527

(0)
上一篇 2024年1月15日 下午12:00
下一篇 2024年1月16日 下午8:00

相关推荐

  • Apache Derby LDAP 注入漏洞 (CVE-2022-46337)

    漏洞类型 LDAP注入 发现时间 2023-11-20 漏洞等级 中危 MPS编号 MPS-2022-65764 CVE编号 CVE-2022-46337 漏洞影响广度 一般 漏洞危害 OSCS 描述 Apache Derby 是开源的关系型数据库管理系统。 受影响版本中,由于 LDAPAuthenticationSchemeImpl#getDNFromUI…

    2023年11月21日
    0
  • Microsoft Windows Themes 远程代码执行漏洞(POC公开) (CVE-2023-38146)

    漏洞类型 命令注入 发现时间 2023-09-15 漏洞等级 高危 MPS编号 MPS-ntyd-m53q CVE编号 CVE-2023-38146 漏洞影响广度 广 漏洞危害 OSCS 描述 Windows操作系统上,.theme文件是一种用于定义桌面主题和外观设置的文件。 Windows11 受影响版本中存在远程代码执行漏洞。当.theme文件中引用了….

    2023年9月16日
    0
  • Telegram Windows客户端可执行文件限制不当RCE漏洞 (MPS-38wf-ilyv)

    漏洞类型 不完整的黑名单 发现时间 2024-04-13 漏洞等级 高危 MPS编号 MPS-38wf-ilyv CVE编号 – 漏洞影响广度 小 漏洞危害 OSCS 描述 Telegram是提供开源客户端的跨平台即时通信软件。 在其客户端中通过黑名单限制Windows下可执行文件后缀,由于黑名单列表错误拼写了python zipapp后缀pyz…

    漏洞 2024年4月15日
    0
  • MLflow <2.9.2 任意文件读取漏洞(is_local_uri绕过) (CVE-2023-6977)

    漏洞类型 路径遍历 发现时间 2023-12-21 漏洞等级 严重 MPS编号 MPS-06sl-jy9a CVE编号 CVE-2023-6977 漏洞影响广度 一般 漏洞危害 OSCS 描述 MLflow 是用于机器学习全生命周期管理的开源工具。 在MLflow

    2023年12月22日
    0
  • PaddlePaddle<2.6.0 存在命令注入漏洞 (CVE-2023-52310)

    漏洞类型 OS命令注入 发现时间 2024-01-03 漏洞等级 严重 MPS编号 MPS-byhf-uv17 CVE编号 CVE-2023-52310 漏洞影响广度 一般 漏洞危害 OSCS 描述 PaddlePaddle(飞桨)是百度研发的深度学习平台。PaddlePaddle 中,Pass 表示对所有训练数据进行一次完整的前向和反向传播。 Paddle…

    2024年1月4日
    0