Atlassian Confluence Server et Data Center contiennent une vulnérabilité d'exécution de code à distance qui permet à un attaquant non authentifié d'exécuter du code à distance.
Action requise :bloquer immédiatement tout trafic Internet vers et depuis les produits affectés ET appliquer la mise à jour selon les instructions de l'éditeur [https://confluence.atlassian.com/doc/confluence-security-advisory-2022-06-02-1130377146.html] OU retirer les produits affectés avant la date limite indiquée à droite. note : une fois la mise à jour déployée avec succès, les agences peuvent réévaluer les règles de blocage Internet.
Score CVSS 3.1 : 9,8 sur 10, gravité critique CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Exploitable à distance, par le réseau, sans compte, sans action de la victime.
Probabilité d’exploitation dans les 30 jours (EPSS) : > 99,9 %, parmi les 0,1 % de CVE les plus susceptibles d’être exploitées
Code d’exploitation public : signalé par la NVD.
Versions concernées
confluence data center : versions ≥ 1.3 et < 7.4.17
confluence data center : versions ≥ 7.13.0 et < 7.13.7
confluence data center : versions ≥ 7.14.0 et < 7.14.3
confluence data center : versions ≥ 7.15.0 et < 7.15.2
confluence data center : versions ≥ 7.16.0 et < 7.16.4
confluence data center : versions ≥ 7.17.0 et < 7.17.4
confluence server : versions ≥ 1.3 et < 7.4.17
confluence server : versions ≥ 7.13.0 et < 7.13.7
D’après la NVD. Vérifiez toujours l’avis de l’éditeur, qui fait foi.
Type de faiblesse
Injection dans langage d'expression (CWE-917) : Le produit construit tout ou partie d'une instruction de langage d'expression (EL) dans un cadre tel qu'une page serveur Java (JSP) en utilisant une entrée influencée par un composant amont, mais il ne neutralise pas ou neutralise incorrectement les éléments spéciaux qui pourraient modifier l'instruction EL prévue avant son exécution.
Chronologie
— Exploitation confirmée : ajout au catalogue KEV de la CISA
— Publication de la CVE
— Échéance de correction pour les agences fédérales américaines
Sources : catalogue KEV de la CISA (CC0), NVD (NIST), EPSS (FIRST.org), CWE (MITRE). Données mises à jour automatiquement.
Texte original de la CISA (anglais)
Atlassian Confluence Server and Data Center Remote Code Execution Vulnerability
Atlassian Confluence Server and Data Center contain a remote code execution vulnerability that allows for an unauthenticated attacker to perform remote code execution.
Required action: Immediately block all internet traffic to and from affected products AND apply the update per vendor instructions [https://confluence.atlassian.com/doc/confluence-security-advisory-2022-06-02-1130377146.html] OR remove the affected products by the due date on the right. Note: Once the update is successfully deployed, agencies can reassess the internet blocking rules.