大工网安告[2022]024号

一、情况分析

近日Atlassian官方发布安全公告，公告中说明CVE-2022-26134是Confluence Server和Confluence Data Center中的一个严重的未经身份验证的远程代码执行漏洞。该漏洞允许在未经身份验证的情况下，通过发送恶意的Web请求注入命令，实现在受影响的Confluence Server或Data Center实例上执行任意代码。并已发现在野利用。

二、影响范围

Confluence Server和Data Center受支持版本都会受到影响。

安全版本

Atlassian Confluence Server/Data Center 7.4.17

Atlassian Confluence Server/Data Center 7.13.7

Atlassian Confluence Server/Data Center 7.14.3

Atlassian Confluence Server/Data Center 7.15.2

Atlassian Confluence Server/Data Center 7.16.4

Atlassian Confluence Server/Data Center 7.17.4

Atlassian Confluence Server/Data Center 7.18.1

三、处置建议

临时解决方法：

对于Confluence 7.15.0 - 7.18.0

如果你在集群中运行Confluence，你需要在每个节点上重复这个过程。您无需关闭整个集群即可应用此缓解措施。

1.关闭Confluence。

2.将以下1个文件下载到Confluence服务器：xwork-1.0.3-atlassian-10.jar

3.删除（或将以下JAR移出Confluence安装目录）：<confluence-install>/confluence/WEB-INF/lib/xwork-1.0.3-atlassian-8.jar并不要在目录中留下这个旧JAR的副本。

4.将下载的xwork-1.0.3-atlassian-10.jar复制到<confluence-install>/confluence/WEB-INF/lib/

5.检查新xwork-1.0.3-atlassian-10.jar文件的权限和所有权是否与同一目录中的现有文件匹配。

6.启动Confluence。

请记住，如果您在集群中运行Confluence，请确保在所有节点上应用上述更新。

对于Confluence 7.0.0 - Confluence 7.14.2

如果你在集群中运行Confluence，你需要在每个节点上重复这个过程。您无需关闭整个集群即可应用此缓解措施。

1.关闭Confluence。

2.将以下3个文件下载到Confluence服务器：

xwork-1.0.3-atlassian-10.jar

webwork-2.1.5-atlassian-4.jar

CachedConfigurationProvider.class

3.删除（或将以下JAR移到Confluence安装目录之外）：

<confluence-install>/confluence/WEB-INF/lib/xwork-1.0.3.6.jar

<confluence-install>/confluence/WEB-INF/lib/webwork-2.1.5-atlassian-3.jar

不要在目录中留下旧JAR的副本。

4.将下载的xwork-1.0.3-atlassian-10.jar复制到<confluence-install>/confluence/WEB-INF/lib/

5.将下载的webwork-2.1.5-atlassian-4.jar复制到<confluence-install>/confluence/WEB-INF/lib/

6.检查两个新文件的权限和所有权是否与同一目录中的现有文件匹配。

7.切换到目录<confluence-install>/confluence/WEB-INF/classes/com/atlassian/confluence/setup

a.创建一个名为的新目录webwork

b.将CachedConfigurationProvider.class复制到<confluence-install>/confluence/WEB-INF/classes/com/atlassian/confluence/setup/webwork

c,确保权限和所有权正确：

<confluence-install>/confluence/WEB-INF/classes/com/atlassian/confluence/setup/webwork

<confluence-install>/confluence/WEB-INF/classes/com/atlassian/confluence/setup/webwork/CachedConfigurationProvider.class

8.启动Confluence。

请记住，如果您在集群中运行Confluence，请确保在所有节点上应用上述更新。

其他缓解措施：

Atlassian安全团队定义了以下解决方法：

1.禁用或限制对暴露在Internet上的Confluence Server和Data Center实例的访问。

2.如果前面的解决方法不可行，请在WAF级别定义规则，阻止包含序列${的URL。

Atlassian下载中心：

https://www.atlassian.com/software/confluence/download-archives