Atlassian знайшли критичну вразливість CVE-2023-22518 у безпеці корпоративної вебвікі Confluence, яка могла призвести до «значної втрати даних». Однак, у нещодавно оновленому повідомленні було визнано, що вразливість куди серйозніша і зловмисники можуть повністю скинути Confluence та створити облікові записи з правами адміністратора.

Як пишуть The Register, Atlassian спершу оцінювали рівень загрози на 9.1, однак після нової заяви оцінка загрози виросла до максимальних 10.

Як написали в повідомлені Atlassian, усі версії Confluence Data Center і Server піддаються цій уразливості.

Наразі компанія рекомендує оновити систему до наступних версій: 7.19.16, 8.3.4, 8.4.4, 8.5.3, 8.6.1.

Перед оновленням, Atlassian також рекомендують створити резервну копію, та, за можливості, видалити свій екземпляр з інтернету, допоки користувачі не зможуть встановити безпечну версію.

Якщо користувач не може обмежити доступ до зовнішньої мережі або оновитись, компанія радить застосувати такі тимчасові заходи, щоб пом’якшити відомі вектори атак, заблокувавши доступ до таких кінцевих точок в екземплярах Confluence:

  • /json/setup-restore.action
  • /json/setup-restore-local.action
  • /json/setup-restore-progress.action