软件供应商Atlassian发现了最近发布的一个关键漏洞公开发布的关键信息,这增加了该漏洞在野外被利用的可能性。
这家澳大利亚开发商上周四发布的简短更新称,他们是在对流行的Confluence工作空间工具的漏洞进行持续监控时发现这一漏洞的。
该公司敦促称:“目前还没有活跃漏洞的报告,但客户必须立即采取行动保护自己的实例。”
该软件漏洞(CVE-2023-22518)被列为影响所有版本的Confluence数据中心和服务器的不正当授权漏洞,尽管通过Atlassian官网访问的Atlassian Cloud站点不受影响。
该漏洞的CVSS评分为9.1,对于在其组织中管理该软件的任何系统管理员来说,应该优先将其挑出来修补。
尽管CVE不会使攻击者泄露公司数据,但它可以允许攻击者擦除他们在受影响的Confluence环境中找到的任何数据。
Atlassian首席信息安全官Bala Sathiamurthy警告说,未经身份验证的攻击者可能会导致重大数据丢失。
如果组织无法打补丁,则鼓励他们备份他们的实例。从互联网上删除实例,直到可以打补丁,甚至包括需要用户身份验证的实例。以及应用几个列出的措施来阻止三个关键端点上的访问。
近年来,随着用户纷纷使用其Confluence产品进行远程协作,Atlassian已成为越来越受欢迎的攻击目标。
在2022年8月,威胁参与者被发现利用产品中的CVE-2022-26134部署了一个针对多个未命名组织的新后门。
10月,美国政府机构敦促客户修补Confluence数据中心和服务器中的一个严重的身份验证和会话管理漏洞(CVE-2023-22515)。