이 문서는 CVE-2023-22527 취약점에 대한 조치 방법을 공유하기 위해 작성되었다.
Atlassian Cloud 사이트는 이 취약점의 영향을 받지 않습니다.
Atlassian.net 도메인을 통해 Confluence 사이트에 액세스하는 경우 해당 사이트는 Atlassian에서 호스팅되므로 이 문제에 취약하지 않습니다.
취약점 요약
| 요약 | CVE-2023-22527 - Confluence Data Center 및 Server 예전 버전에서의 RCE(원격 코드 실행) 취약성 |
| 권고 릴리스 날짜 | 2024년 1월 16일 화요일 01:00 EST |
| 제품 |
|
| CVE ID | CVE-2023-22527 |
| 관련 Jira 티켓 |
Confluence Data Center 및 Server의 구버전에서 발견된 템플릿 인젝션 취약점으로, 비인가 사용자가 해당 버전에서 원격 코드 실행(RCE)을 가능케 할 수 있습니다.
해당 버전을 사용 중인 고객은 즉각 조치해야 합니다. Confluence Data Center 및 Server의 최신 지원 버전은 정기적인 업데이트 과정에서 이 취약점이 해소되어 있습니다.
Atlassian은 고객이 Atlassian의 인스턴스를 1월 보안 공지에 안내된 중요하지 않은 취약점으로부터 보호하기 위해 최신 버전을 설치하는 것을 권장합니다.
자세한 지침은 "조치 사항"을 확인해주시기 바랍니다.
심각도
Atlassina은 이 취약점을 심각하게 평가하며 (10.0, 다음 벡터 CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H)로 등급 분류합니다.
영향받는 버전
이 RCE(원격 코드 실행) 취약점은 2023년 12월 5일 이전에 출시된 구버전 Confluence Data Center 및 Server의 8 버전 및 더 이상 보안 버그 수정 정책에 따라 백포트된 수정 사항을 받지 못하는 8.4.5 버전에 영향을 미칩니다.
Atlassian은 최신 버전으로 패치하는 것을 권장합니다.
참고 : 7.19.X LTS 버전은 이 취약점에 영향받지 않습니다.
| 제품 | 영향받는 버전 |
|---|---|
| Confluence Data Center 및 Server |
|
조치 사항
즉시 최신 버전으로 패치
만약 사용 중인 버전이 구버전이라면 즉시 패치해야 합니다. Atlassian은 각 영향을 받는 설치에 대해 가능한 최신 버전으로 패치하는 것을 권장합니다.
나열된 수정 버전은 더 이상 최신이 아니며 Atlassian 1월 보안 공지에서 설명한 중요하지 않은 다른 취약점으로부터 인스턴스를 보호하지 않습니다.
| 제품 | 수정 버전 | 최신 버전 |
|---|---|---|
| Confluence Data Center 및 Server |
|
|
| Confluence Data Center |
|
|
완화 조치
알려진 해결책이 없습니다. 이 취약점을 해결하려면 각 영향을 받는 제품 설치를 최신 버전으로 업데이트하세요.
커브의 Atlassian CarePackage(기술지원서비스) 고객분들은 CURVC Carepackage 가이드를 참고하시어 커브 서비스 데스크에 지원 요청하시기 바랍니다.
참고 페이지