0x00 事件背景

2019年4月17日Confluence官方发布安全公告，Confluence Server和Data Center产品在downloadallattachments资源中存在一个路径穿越漏洞。有权向页面和（或）博客添加附件，或创建新空间或个人空间，或者对空间具有“管理员”权限的远程攻击者可以利用此漏洞将文件写入任意位置，最终导致远程代码执行。

Confluence官方将此漏洞评价为严重级别，360CERT判断此漏洞影响范围广泛，建议广大用户及时更新Confluence Server或Data Center，以免遭受黑客攻击。

0x01 影响范围

影响产品：

• Confluence Server
• Confluence Data Center

影响版本：

• 6.6.14之前的所有版本
• 所有6.7.x-6.11.x版本
• 6.12.4 之前的所有6.12.x版本
• 6.13.4 之前的所有6.13.x版本
• 6.14.3 之前的所有6.14.x版本
• 6.15.2 之前的所有6.15.x版本

0x02 修复建议

1. 升级Confluence Server或Data Center版本：
   • 6.6.13
   • 6.13.4
   • 6.14.3
   • 6.15.2
2. 执行官方缓解措施：
   • 停止Confluence
   • 编辑<install-directory>/conf/server.xml
   • 如果你没有为 Confluence 配置 context path，则将以下代码添加至 <Host> 元素中：

   •   <Context path="/pages/downloadallattachments.action" docBase="" >
     <Valapp className="org.apache.catalina.valapps.RemoteAddrValapp" deny="*" />
     </Context>

   • 如果你为 Confluence 配置了 context path，比如说 /wiki，则需要将以下代码添加至 <Host> 元素中：

   •   <Context path="/wiki/pages/downloadallattachments.action" docBase="" >
     <Valapp className="org.apache.catalina.valapps.RemoteAddrValapp" deny="*" />
     </Context>

   • 保存文件，重启Confluence验证缓解措施是否生效：
   • 访问含有2个或以上附件的页面/博客，点击… > 附件 > 下载全部
   • 若返回404页面，则说明缓解措施已生效。

0x03 时间线

2019-04-17 Confluence官方发布安全公告

2019-04-18 360CERT发布预警

0x04 参考链接

1. https://confluence.atlassian.com/doc/confluence-security-advisory-2019-04-17-968660855.html
2. https://jira.atlassian.com/browse/CONFSERVER-58102