Atlassian Questions For Confluence 硬编码凭据漏洞通告
漏洞概述近日，华为感知到Atlassian官方发布了Atlassian Confluence的更新通告，修复多个安全漏洞。其中位于Questions For Confluence的硬编码凭据漏洞PoC已被公开。 当安装了Questions for Confluence应用，会创建一个名为disabledsystemuser的帐户，该账户使用硬编码方式创建并添加到confluence-users组中，并且能够在默认情况下查看和编辑Confluence中的所有非受限页面，未经身份验证的攻击者可以利用该凭据登录Confluence。鉴于漏洞影响大，且利用细节已公开，建议广大用户及时做好排查修复与防护工作。
关键信息
受影响的版本- Questions for Confluence 2.7.34，2.7.35，3.0.2
解决方案1. 华为解决方案 华为在感知到该漏洞信息以后，安全研究人员持续关注相关信息，复现漏洞PoC，并立即开发IPS防护签名。目前最新IPS签名库已推送到升级网站，可供客户升级使用。
2. 厂商解决方案 - 官方已修复漏洞，升级Questions for Confluence到最新版本： https://marketplace.atlassian.com/apps/1211644/questions-for-confluence?tab=overview&hosting=cloud
- 对于暂时无法升级的用户，可以搜索disabledsystemuser帐户并将其禁用或删除。
参考链接https://confluence.atlassian.com/doc/confluence-security-advisory-2022-07-20-1142446709.html |
