中国·开yun体育(官方)入口-APP下载安装·Maigoo百科

Confluence 是一款专业的企业知识管理与协同软件，常用于企业wiki的构建，支持团队成员间开展信息共享、文档协作、集体讨论和信息推送等工作，具有较为便捷的编辑和站点管理特性。该软件由 Atlassian 公司负责开发和维护。

漏洞详情

近日，Atlassian Confluence 官方发布公告称 Confluence Server 和 Data Center 存在OGNL 注入漏洞(CVE-2022-26134)，该漏洞源于Confluence，xwork-1.0.3-atlassian-8.jar 对 OGNL 表达式过滤不严谨，导致存在 OGNL 表达式注入漏洞，攻击者可以通过构造发送特定HTTP请求利用此漏洞。成功利用后可对 Confluence 服务器进行远程命令执行。

漏洞复现

远程命令执行

影响范围

1.3.0 <= Confluence Server and Data Center < 7.4.17

7.13.0 <= Confluence Server and Data Center < 7.13.7

7.14.0 <= Confluence Server and Data Center < 7.14.3

7.18.0 <= Confluence Server and Data Center < 7.18.1

7.17.0 <= Confluence Server and Data Center < 7.17.4

7.16.0 <= Confluence Server and Data Center < 7.16.4

7.15.0 <= Confluence Server and Data Center < 7.15.2

修复建议

1.建议用户升级到最新的支持版本。

2.缓解措施

1）及时关闭Confluence并排查服务器。

2）下载以下多个文件

    a、xwork-1.0.3-atlassian-10.jar

https://packages.atlassian.com/maven-internal/opensymphony/xwork/1.0.3-atlassian-10/xwork-1.0.3-atlassian-10.jar

    b、webwork-2.1.5-atlassian-4.jar

https://packages.atlassian.com/maven-internal/opensymphony/webwork/2.1.5-atlassian-4/webwork-3.2.1.5-atlassian-4.jar

    c、CachedConfigurationProvider.class

https://confluence.atlassian.com/doc/files/1130377146/1137639562/3/1654274890463/CachedConfigurationProvider.class

3）将xwork-1.0.3.6.jar与webwork-2.1.5-atlassian-3.jar删除或移出Confluence 安装目录。文件路径分别为：

/confluence/WEB-INF/lib/xwork-1.0.3.6.jar

/confluence/WEB-INF/lib/webwork-2.1.5-atlassian-3.jar

4）将下载的xwork-1.0.3-atlassian-10.jar文件复制到以下目录中，目录路径：

/confluence/WEB-INF/lib/

5）将下载的webwork-2.1.5-atlassian-4.jar文件复制到以下目录中。目录路径：

/confluence/WEB-INF/lib/

6）检查下载的新文件权限是否与同一目录中的其他文件相同。

7）切换到以下目录

    a、在setup目录下创建一个名为webwork的新目录

    b、将CachedConfigurationProvider.class复制到创建好的webwork目录中。目录路径：

/confluence/WEB-INF/classes/com/atlassian/confluence/setup/webwork

    c、检查CachedConfigurationProvider.class文件权限是否与同一目录中的其他文件 相同

8）重启 Confluence。

参考链接

https://www.cnvd.org.cn/webinfo/show/7756