Update - Kritische Sicherheitslücke in Atlassian Confluence - Patches & Workarounds verfügbar

03. Juni 2022

Beschreibung

Atlassian Confluence Server und Confluence Data Center weisen eine kritische Schwachstelle auf, die das Ausführen von beliebigem Code erlaubt. Die Sicherheitslücke wird bereits aktiv ausgenützt.

CVE-Nummer: CVE-2022-26134

CVSS Base Score: Atlassian Security Level: Critical (entspricht CVSS Score 9.0-10.0)

Auswirkungen

Die Schwachstelle erlaubt entfernten, unauthentifizierten Angreifer:innen das Ausführen von beliebigem Code und in weiterer Folge potentiell die vollständige Kompromittierung des betroffenen Systems.

Betroffene Systeme

• Atlassian Confluence Server
• Atlassian Confluence Data Center

Betroffen sind alle Versionen von Confluence Server und Confluence Data Center. Atlassian Cloud Sites sind nicht betroffen.

Abhilfe

Derzeit existieren noch keine Updates, um die Sicherheitslücke zu schließen. Als Workaround empfiehlt Atlassian, den Zugang zu Confluence-Instanzen aus dem öffentlichen Internet zu unterbinden oder die Instanzen temporär zu deaktivieren, bis ein Patch verfügbar ist.

Hinweis

Generell empfiehlt CERT.at, sämtliche Software aktuell zu halten und dabei insbesondere auf automatische Updates zu setzen. Regelmäßige Neustarts stellen sicher, dass diese auch zeitnah aktiviert werden.

Informationsquelle(n):

Atlassian Advisory (Englisch)
https://confluence.atlassian.com/doc/confluence-security-advisory-2022-06-02-1130377146.html

Analyse der Schwachstelle von Volexity (Englisch)
https://www.volexity.com/blog/2022/06/02/zero-day-exploitation-of-atlassian-confluence/