Confluence 보안 권고 CVE-2023-22522

이 문서는 CVE-2023-22522 취약점에 대한 조치 방법을 공유하기 위해 작성되었다.

취약점 요약표

요약	CVE-2023-22522 - RCE Vulnerability in Confluence Data Center and Server
권고 릴리스 날짜	2023년 12월 05일 화요일 21:00 ET
제품	Confluence 데이터 센터 Confluence 서버
CVE ID	CVE-2023-22522
관련 Jira 티켓	CONFSERVER-93502

취약점 요약

이 템플릿 주입 취약점을 통해 익명 액세스 권한이 있는 공격자를 포함하여 인증된 공격자가 안전하지 않은 사용자 입력을 Confluence 페이지에 주입할 수 있습니다. 이 접근 방식을 사용하면 공격자는 영향을 받는 인스턴스에서 RCE를 달성할 수 있습니다. 아래 나열된 Confluence Data Center 및 Server 버전은 위험하므로 즉각적인 주의가 필요합니다. 자세한 지침은 "수행해야 할 작업"을 참조하세요.

Atlassian Cloud 사이트는 이 취약점의 영향을 받지 않습니다. Atlassian.net 도메인을 통해 Confluence 사이트에 액세스하는 경우 해당 사이트는 Atlassian에서 호스팅되므로 이 문제에 취약하지 않습니다.

심각도

Atlassian은 이 취약점의 심각도 수준을 중요( 다음 벡터 CVSS:3.0/AV:N/AC:H/PR:N/UI:N/S:C/C:H/I:H/A: 9.0 )로 평가 합니다. H ) 내부 평가에 따라.
이는 우리의 평가이므로 귀하의 IT 환경에 대한 적용 가능성을 평가해야 합니다.

영향을 받는 버전

이 RCE(원격 코드 실행) 취약점은 Confluence Data Center 및 Server 4.0.0을 포함한 모든 버전에 영향을 미칩니다. Atlassian에서는 최신 버전이나 고정 LTS 버전으로 패치할 것을 권장합니다.

제품	영향을 받는 버전
Confluence 데이터 센터 및 서버	4.xx 5.xx 6.xx 7.xx 8.0.x 8.1.x 8.2.x 8.3.x 8.4.0 8.4.1 8.4.2 8.4.3 8.4.4 8.5.0 8.5.1 8.5.2 8.5.3
Confluence 데이터 센터	8.6.0 8.6.1

필요 조치 내용

고정 버전으로 즉시 패치

Atlassian은 영향을 받는 각 설치를 최신 버전이나 아래 나열된 수정 버전 중 하나로 패치할 것을 권장합니다.

제품	고정 버전
Confluence 데이터 센터 및 서버	7.19.17( LTS ) 8.4.5 8.5.4(LTS)
컨플루언스 데이터 센터	8.6.2 이상(데이터 센터에만 해당) 8.7.1 이상(데이터 센터에만 해당)

패치할 수 없는 경우 임시 완화 적용

현재 완화 방법은 없지만 다음을 권장합니다.

인스턴스를 백업하세요. (지침: https://confluence.atlassian.com/doc/production-backup-strategy-38797389.html )
패치를 적용할 수 있을 때까지 인터넷에서 인스턴스를 제거하십시오. 사용자 인증이 있는 인스턴스를 포함하여 공용 인터넷에 액세스할 수 있는 인스턴스는 패치를 적용할 때까지 외부 네트워크 액세스가 제한되어야 합니다.

메모:인스턴스를 공용 인터넷으로 복원하기 전에 최신 수정 버전을 적용해야 합니다.

페이지 트리