Kritisk sårbarhet i samarbetsverktyget Confluence
Atlassian rapporterar om två sårbarheter, varav en kritisk, som påverkar samarbetsverktyget Confluence [1,2].Den kritiska sårbarheten CVE-2021-26084 har fått CVSS-klassningen 9.8. Sårbarheten gör det möjligt att injicera skadlig kod i vissa Java-objekt.
Det kan göra det möjligt för en autentiserad användare att köra godtycklig kod på en Confluence-server eller i en instans av ett datacenter. I vissa fall behöver användaren inte vara autentiserad. [1]
Uppdatering 2021-09-06
Atlassian har uppdaterat sin säkerhetsrådgivning gällande CVE-2021-26084 som påverkar Confluence Server och Data Center, med information om att sårbarheten nu utnyttjas aktivt. Rådet är att påverkade servrar bör säkerhetsuppdateras omedelbart. Sårbarheten kan utnyttjas utan autentisering oavsett konfiguration [1].
Påverkade produkter
Sårbarheterna påverkar flertalet versioner av följande produkter:Confluence ServerConfluence Data CenterFör en fullsändig förteckning överpåverkade versioner, se [1] för CVE-2021-26084 och [2] för CVE-2021-26085.
Rekommendationer
CERT-SE rekommenderar att uppdatera sårbara produkter så snart som möjligt.
Källor
[1] https://confluence.atlassian.com/doc/confluence-security-advisory-2021-08-25-1077906215.html