Suivi KEV › Atlassian

CVE-2021-26084 Atlassian, Confluence Server et Data Center : vulnérabilité d'injection OGNL

Critique Vulnérabilité activement exploitée, exploitable massivement : la CISA l’a ajoutée à son catalogue KEV le 3 novembre 2021.

  • Produit : Atlassian Confluence Server and Data Center
  • Ajoutée au catalogue : 3 novembre 2021
  • Échéance CISA : 17 novembre 2021
  • Rançongiciels : utilisée dans des campagnes connues
  • Faiblesse : CWE-917
  • Gravité : CVSS 9,8 (critique)
  • Probabilité d’exploitation (EPSS) : > 99,9 %
  • Technologie : Confluence

Atlassian Confluence Server et Data Server contiennent une vulnérabilité d'injection de langage de navigation d'objets (OGNL) qui pourrait permettre à un attaquant non authentifié d'exécuter du code.

Action requise : Appliquer les mises à jour selon les instructions de l'éditeur.

Références : NVD · CISA

Gravité et exploitation

  • Score CVSS 3.1 : 9,8 sur 10, gravité critique CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
  • Exploitable à distance, par le réseau, sans compte, sans action de la victime.
  • Probabilité d’exploitation dans les 30 jours (EPSS) : > 99,9 %, parmi les 0,1 % de CVE les plus susceptibles d’être exploitées
  • Code d’exploitation public : signalé par la NVD.

Versions concernées

  • confluence data center : versions < 6.13.23
  • confluence data center : versions ≥ 6.14.0 et < 7.4.11
  • confluence data center : versions ≥ 7.5.0 et < 7.11.6
  • confluence data center : versions ≥ 7.12.0 et < 7.12.5
  • confluence server : versions < 6.13.23
  • confluence server : versions ≥ 6.14.0 et < 7.4.11
  • confluence server : versions ≥ 7.5.0 et < 7.11.6
  • confluence server : versions ≥ 7.12.0 et < 7.12.5

D’après la NVD. Vérifiez toujours l’avis de l’éditeur, qui fait foi.

Type de faiblesse

  • Injection dans langage d'expression (CWE-917) : Le produit construit tout ou partie d'une instruction de langage d'expression (EL) dans un cadre tel qu'une page serveur Java (JSP) en utilisant une entrée influencée par un composant amont, mais il ne neutralise pas ou neutralise incorrectement les éléments spéciaux qui pourraient modifier l'instruction EL prévue avant son exécution.

Chronologie

  1. — Publication de la CVE
  2. — Exploitation confirmée : ajout au catalogue KEV de la CISA
  3. — Échéance de correction pour les agences fédérales américaines

Références

Sources : catalogue KEV de la CISA (CC0), NVD (NIST), EPSS (FIRST.org), CWE (MITRE). Données mises à jour automatiquement.

Texte original de la CISA (anglais)

Atlassian Confluence Server and Data Center Object-Graph Navigation Language (OGNL) Injection Vulnerability

Atlassian Confluence Server and Data Server contain an Object-Graph Navigation Language (OGNL) injection vulnerability that may allow an unauthenticated attacker to execute code.

Required action: Apply updates per vendor instructions.

Autres failles exploitées de Atlassian Confluence Server and Data Center

  • CVE-2019-3398 — Atlassian, Confluence Server et Data Center : vulnérabilité de traversée de répertoires (3 novembre 2021)

← Toutes les failles Atlassian · Suivi KEV