Confluence远程代码执行漏洞（CVE-2023-22522）通告

阅读： 8

一、漏洞概述

12月6日，绿盟科技CERT监测到Atlassian官方发布了Atlassian Confluence Data Center 及 Confluence Server远程代码执行漏洞（CVE-2023-22522）的安全公告，该漏洞由模板注入导致，经过身份验证（包括具有匿名访问权限）的攻击者可以将不安全的用户输入注入 Confluence 页面，通过构造恶意请求在受影响的目标上实现远程代码执行。CVSS评分为9.0，请相关用户尽快采取措施进行防护。

Atlassian Confluence是Atlassian公司出品的专业wiki程序。它可以作为一个知识管理的工具，通过它能够实现团队成员之间的协作和知识共享。

参考链接：

https://confluence.atlassian.com/security/cve-2023-22522-rce-vulnerability-in-confluence-data-center-and-confluence-server-1319570362.html

二、影响范围

受影响版本

Confluence Data Center and Server = 4.x.x

Confluence Data Center and Server = 5.x.x

Confluence Data Center and Server = 6.x.x

Confluence Data Center and Server = 7.x.x

Confluence Data Center and Server = 8.1.x

Confluence Data Center and Server = 8.2.x

Confluence Data Center and Server = 8.3.x

8.4.0 <= Confluence Data Center and Server <= 8.4.4

8.5.0 <= Confluence Data Center and Server <= 8.5.3

8.6.0 <= Confluence Data Center <= 8.6.1

不受影响版本

Confluence Data Center and Server = 7.19.17

Confluence Data Center and Server = 8.4.5

Confluence Data Center and Server = 8.5.4

Confluence Data Center =8.6.2

Confluence Data Center =8.7.1

注：Confluence Cloud 不受该漏洞影响

三、漏洞检测

3.1 人工检测

用户可通过查看当前Confluence版本是否在受影响范围内，对当前服务是否受此漏洞影响进行排查。点击

，选择“关于Confluence”，即可对当前版本进行查看。

四、漏洞防护

4.1 官方升级

目前官方已在最新版本中修复了该漏洞，请受影响的用户尽快升级版本进行防护，官方下载链接：https://www.atlassian.com/software/confluence/download-archives

4.2 其他防护措施

若相关用户暂时无法进行升级操作，在不影响业务的情况下可通过对受影响系统进行访问限制来临时缓解。

声明

本安全公告仅用来描述可能存在的安全问题，绿盟科技不为此安全公告提供任何保证或承诺。由于传播、利用此安全公告所提供的信息而造成的任何直接或者间接的后果及损失，均由使用者本人负责，绿盟科技以及安全公告作者不为此承担任何责任。

一、漏洞概述

二、影响范围

三、漏洞检测

四、 漏洞防护

四、漏洞防护