Suivi KEV › Atlassian

CVE-2023-22515 Atlassian, Confluence Data Center et Server : vulnérabilité de contrôle d'accès défaillant

Critique Vulnérabilité activement exploitée, exploitable massivement : la CISA l’a ajoutée à son catalogue KEV le 5 octobre 2023.

  • Produit : Atlassian Confluence Data Center and Server
  • Ajoutée au catalogue : 5 octobre 2023
  • Échéance CISA : 13 octobre 2023
  • Rançongiciels : utilisée dans des campagnes connues
  • Gravité : CVSS 9,8 (critique)
  • Probabilité d’exploitation (EPSS) : 99 %
  • Technologie : Confluence

Atlassian Confluence Data Center et Server contient une vulnérabilité de contrôle d'accès défaillant qui permet à un attaquant de créer des comptes administrateur Confluence non autorisés et d'accéder à Confluence.

Action requise : Appliquer les mesures d'atténuation selon les instructions de l'éditeur ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles. Vérifier toutes les instances Confluence affectées à la recherche de preuves de compromission selon les instructions de l'éditeur et signaler toute découverte positive à CISA.

Références : NVD · CISA · confluence.atlassian.com

Gravité et exploitation

  • Score CVSS 3.1 : 9,8 sur 10, gravité critique CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
  • Exploitable à distance, par le réseau, sans compte, sans action de la victime.
  • Probabilité d’exploitation dans les 30 jours (EPSS) : 99,2 %, parmi les 0,1 % de CVE les plus susceptibles d’être exploitées
  • Code d’exploitation public : signalé par la NVD.

Versions concernées

  • confluence data center : versions ≥ 8.0.0 et < 8.3.3
  • confluence data center : versions ≥ 8.4.0 et < 8.4.3
  • confluence data center : versions ≥ 8.5.0 et < 8.5.2
  • confluence server : versions ≥ 8.0.0 et < 8.3.3
  • confluence server : versions ≥ 8.4.0 et < 8.4.3
  • confluence server : versions ≥ 8.5.0 et < 8.5.2

D’après la NVD. Vérifiez toujours l’avis de l’éditeur, qui fait foi.

Type de faiblesse

  • Validation d'entrée inappropriée (CWE-20) : Le produit reçoit des données d'entrée, mais ne valide pas ou valide incorrectement que ces données possèdent les propriétés requises pour les traiter de manière sûre et correcte.

Chronologie

  1. — Publication de la CVE
  2. — Exploitation confirmée : ajout au catalogue KEV de la CISA
  3. — Échéance de correction pour les agences fédérales américaines

Références

Sources : catalogue KEV de la CISA (CC0), NVD (NIST), EPSS (FIRST.org), CWE (MITRE). Données mises à jour automatiquement.

Texte original de la CISA (anglais)

Atlassian Confluence Data Center and Server Broken Access Control Vulnerability

Atlassian Confluence Data Center and Server contains a broken access control vulnerability that allows an attacker to create unauthorized Confluence administrator accounts and access Confluence.

Required action: Apply mitigations per vendor instructions or discontinue use of the product if mitigations are unavailable. Check all affected Confluence instances for evidence of compromise per vendor instructions and report any positive findings to CISA.

Autres failles exploitées de Atlassian Confluence Data Center and Server

  • CVE-2023-22527 — Atlassian, Confluence Data Center et Server : vulnérabilité d'injection de modèle (24 janvier 2024)
  • CVE-2023-22518 — Atlassian, Confluence Data Center et Server : vulnérabilité d'autorisation incorrecte (7 novembre 2023)

← Toutes les failles Atlassian · Suivi KEV