[English]Atlassian warnt aktuell vor einer kritischen Schwachstelle (CVE-2023-22518) in seinen Produkten Confluence Data Center und Server. Nutzer dieser Produkte werden aufgefordert, öffentlich zugängliche Instanzen vom Internet zu trennen, bis sie gepatcht sind, um Datenverluste zu vermeiden. Der Hersteller hat Sicherheitsupdates zum Schließen der Schwachstellen bereitgestellt.
Anzeige
Ich hatte die Meldung bereits vor Stunden bei The Hackers News in nachfolgendem Tweet gesehen, wurde aber von einem Blog-Leser nochmals darauf aufmerksam gemacht (danke dafür).
In seiner Sicherheitsmeldung zur als kritisch eingestuften Schwachstelle (CVE-2023-22518) wird der CVSS Score mit 9.1 angegeben. Die Schwachstelle betrifft Confluence Data Center und Confluence Server und besteht aus einem Problem bei der Autorisierung eines Benutzers. Atlassian schreibt, dass man festgestellt habe, dass Confluence Data Center- und Server anfällig für erhebliche Datenverluste sind, wenn diese von einem nicht authentifizierten Angreifer ausgenutzt werden.
Es sind alle Versionen von Confluence Data Center und Confluence Server betroffen (betrifft nicht Kunden, die beim Hersteller gehostet werden). Altlassian stellt Patches für den Confluence Data Center und Confluence Server bereit. Die nachfolgenden Versionen fixen die Schwachstelle.
Anzeige
- 7.19.16 or later
- 8.3.4 or later
- 8.4.4 or later
- 8.5.3 or later
- 8.6.1 or later
Zurzeit gibt es zwar noch keine Berichte über aktive Angriffe. Kunden müssen jedoch sofortige Maßnahmen ergreifen, und updaten, um ihre Instanzen zu schützen. Wer das Update nicht sofort einspielen kann, soll die Instanz vom öffentlichen Zugang trennen, da sonst ein Datenverlust durch Angreifer drohe, heißt es vom Hersteller.
Zur Zeit, als ich den Beitrag geschrieben habe, ließen sich die Atlassian Seiten mit dem Sicherheitshinweis nicht abrufen und liefen auf einen Fehler (nur diese Seite funktionierte). Heise hat in diesem Beitrag aber noch einige Informationen zum Thema zusammen getragen.
Anzeige
Leider scheint es auch noch Probleme und Verwirrung um den Patch zu geben, wie in den Kommentaren bei Atlassian sichtbar:
https://jira.atlassian.com/browse/CONFSERVER-93142
Unverständlich warum die Branche noch immer Software dieser Firma einsetzt. Die zeigen seit Jahren, dass sie mit Security und allem total auf Kriegsfuss sind. Waren das nicht die, die ihre Cloud ein paar Wochen offline nehmen mussten, weil man ihnen selbst die Backups aufgrund von Security Issues vernichtet hat? Dagegen sind Microsoft ja Helden