Confluence本地文件泄露漏洞(CVE-2019-3394)

背景信息:

2019年8月29日,监测到Confluence 官方发布安全更新,指出 Confluence Server 与 Confluence Data Center 在页面导出功能中存在本地文件泄露漏洞(CVE-2019-3394),远程攻击者可以利用此漏洞读取WEB-INF目录任意文件,包括程序源码和LDAP证书等,风险较大。

漏洞描述:

Confluence Server和Confluence Data Center在页面导出功能中存在本地文件泄露漏洞,该漏洞要求攻击者登录,且需要"创建文件空间"权限才能成功利用。

漏洞定级:

高危

漏洞影响范围:

影响的产品

  1. Confluence Server
  2. Confluence Data Center

影响的版本

  1. 6.1.0 <= version < 6.6.16
  2. 6.7.0 <= version < 6.13.7
  3. 6.14.0 <= version < 6.15.8

漏洞处置建议:

  1. 升级至安全版本,下载链接:https://www.atlassian.com/software/confluence/download/https://atlassian.com/software/confluence/download/data-center
  2. 官方临时缓解办法:设置属性atlassian.confluence.export.word.max.embedded.images=0,并重启应用,详见官方操作指引:https://confluence.atlassian.com/doc/confluence-security-advisory-2019-08-28-976161720.html
  3. 6.6.16、6.13.7、6.15.8为最新安全版本

扩展知识引用:

https://confluence.atlassian.com/doc/confluence-security-advisory-2019-08-28-976161720.html

相关推荐:
漏洞描述: 2018年4月11日,Spring Data Commons存在远程代码执行漏洞(CVE-2018-1273),攻击者可以构造恶意的请求对Spring Data REST发起攻击,包括使用基于HTTP资源的,或者其他请求基于Spring Data’s pr …
URLScan 是一款 IIS 的安全辅助工具,它可以帮助管理员来加强服务器的安全,它先于 IIS 对用户的请求进行处理,从而使得各项请求符合管理员的规则设置,极大的预防和封堵住各项漏洞的利用和入侵 …
Nginx安装后默认直接显示自身的版本号,出于安全或隐私的考虑,可能需要隐藏Nginx的版本信息。隐藏Nginx的版本信息非常简单,只需要适当修改几个文件即可实现,且不会对正在运行中的程序造成影响。 1、修改 …
ReversingLabs 的安全研究人员披露,他们在官方的 RubyGems 仓库中发现了 725 个 Ruby 库,包含了恶意程序去劫持用户的剪切板,然后设法窃取用户的数字货币。 这一阴谋没有得逞,攻击者留下的钱包地址没有 …
这种技巧据说能够把数码相机图像增大到整个海报大小,而用肉眼几乎看不出图像质量的降低。是不是如此呢? 大家不妨一起来试试 1.启动Photoshop,然后打开一幅图像。 2.选择“图像大小”命令。注意两个地方: …
手机扫一扫即可带走我!