Atlassian发现了一个公共漏洞

软件供应商Atlassian发现了最近发布的一个关键漏洞公开发布的关键信息，这增加了该漏洞在野外被利用的可能性。

这家澳大利亚开发商上周四发布的简短更新称，他们是在对流行的Confluence工作空间工具的漏洞进行持续监控时发现这一漏洞的。

该公司敦促称:“目前还没有活跃漏洞的报告，但客户必须立即采取行动保护自己的实例。”

该软件漏洞(CVE-2023-22518)被列为影响所有版本的Confluence数据中心和服务器的不正当授权漏洞，尽管通过Atlassian官网访问的Atlassian Cloud站点不受影响。

该漏洞的CVSS评分为9.1，对于在其组织中管理该软件的任何系统管理员来说，应该优先将其挑出来修补。

尽管CVE不会使攻击者泄露公司数据，但它可以允许攻击者擦除他们在受影响的Confluence环境中找到的任何数据。

Atlassian首席信息安全官Bala Sathiamurthy警告说，未经身份验证的攻击者可能会导致重大数据丢失。

如果组织无法打补丁，则鼓励他们备份他们的实例。从互联网上删除实例，直到可以打补丁，甚至包括需要用户身份验证的实例。以及应用几个列出的措施来阻止三个关键端点上的访问。

近年来，随着用户纷纷使用其Confluence产品进行远程协作，Atlassian已成为越来越受欢迎的攻击目标。

在2022年8月，威胁参与者被发现利用产品中的CVE-2022-26134部署了一个针对多个未命名组织的新后门。

10月，美国政府机构敦促客户修补Confluence数据中心和服务器中的一个严重的身份验证和会话管理漏洞(CVE-2023-22515)。