-
06/04/2022
-
23
-
41 bài viết
Atlassian khuyến cáo vá lỗ hổng nghiêm trọng trong công cụ Confluence
Atlassian đã khuyến cáo khách hàng “cần hành động ngay lập tức” để giải quyết lỗ hổng mới được phát hiện trong công cụ cộng tác Confluence của mình.
Vào ngày 31 tháng 10, Atlassian đã cảnh báo về lỗ hổng có mã định danh là CVE-2023-22518. Lỗ hổng này được mô tả là “lỗ hổng về việc ủy quyền không đúng cách trong cơ sở dữ liệu và máy chủ của Confluence”. Lỗi ảnh hưởng tới các phiên bản On-premises của các sản phẩm Atlassian.
Tất cả các phiên bản của Confluence đều dễ tồn tại lỗ hổng. Điều này kiến CVE-2023-22518 được Atlassian đánh giá ở mức độ nghiêm trọng 9,1/10 theo thang điểm CVSS.
Hiện tại, hãng vẫn chưa nêu chi tiết về bản chất của lỗ hổng hoặc cách nó có thể khiến việc mất dữ liệu xảy ra. Hãng cho biết họ chưa thấy bất kỳ hành vi khai thác nào.
Cách khắc phục CVE-2023-22518 rất đơn giản: nâng cấp ngay lên phiên bản Confluence mới. Các phiên bản 7.19.16, 8.3.4, 8.4.4, 8.5.3, 8.6.1 hoặc bất kỳ phiên bản nào sau các bản nêu trên đều đã được vá lỗi.
Trước khi nâng cấp, Atlassian khuyên bạn nên ngắt kết nối các phiên bản Confluence khỏi mạng Internet. Nếu điều đó không thể thực hiện được, nhà cung cấp khuyến nghị bạn nên hạn chế quyền truy cập ra mạng bên ngoài cho đến khi áp dụng các bản vá.
Người dùng SaaS-y Confluence trên cloud của Atlassian thì không cần phải lo lắng về lỗ hổng này.
Đây đã là lỗ hổng nghiêm trọng thứ hai xuất hiện vào tháng 10 của Confluence. Xuất hiện trước đó là CVE-2023-22515, được công bố vào ngày 4 tháng 10, là lỗ hổng cho phép kẻ tấn công tạo và lạm dụng tài khoản quản trị viên của Confluence. Lỗ hổng này đã bị những kẻ tấn công khai thác tích cực, khiến chính quyền Mỹ phải đẩy mạnh việc vá lỗi.
Hai lỗ hổng nghiêm trọng trong một tháng của Confluence chắc chắn cho thấy việc sử dụng cơ sở dữ liệu tự lưu trữ có mức độ an toàn thấp và viêc sử dụng cloud là một đề xuất tối ưu hơn. Atlassian đồng ý với quan điểm đó nhưng cũng sẽ giữ cho các sản phẩm sử dụng cơ sở dữ liệu tự lưu trữ của mình tồn tại vì không phải khách hàng nào cũng cảm thấy thoải mái khi sử dụng cloud.
Vào ngày 31 tháng 10, Atlassian đã cảnh báo về lỗ hổng có mã định danh là CVE-2023-22518. Lỗ hổng này được mô tả là “lỗ hổng về việc ủy quyền không đúng cách trong cơ sở dữ liệu và máy chủ của Confluence”. Lỗi ảnh hưởng tới các phiên bản On-premises của các sản phẩm Atlassian.
Tất cả các phiên bản của Confluence đều dễ tồn tại lỗ hổng. Điều này kiến CVE-2023-22518 được Atlassian đánh giá ở mức độ nghiêm trọng 9,1/10 theo thang điểm CVSS.
Hiện tại, hãng vẫn chưa nêu chi tiết về bản chất của lỗ hổng hoặc cách nó có thể khiến việc mất dữ liệu xảy ra. Hãng cho biết họ chưa thấy bất kỳ hành vi khai thác nào.
Cách khắc phục CVE-2023-22518 rất đơn giản: nâng cấp ngay lên phiên bản Confluence mới. Các phiên bản 7.19.16, 8.3.4, 8.4.4, 8.5.3, 8.6.1 hoặc bất kỳ phiên bản nào sau các bản nêu trên đều đã được vá lỗi.
Trước khi nâng cấp, Atlassian khuyên bạn nên ngắt kết nối các phiên bản Confluence khỏi mạng Internet. Nếu điều đó không thể thực hiện được, nhà cung cấp khuyến nghị bạn nên hạn chế quyền truy cập ra mạng bên ngoài cho đến khi áp dụng các bản vá.
Người dùng SaaS-y Confluence trên cloud của Atlassian thì không cần phải lo lắng về lỗ hổng này.
Đây đã là lỗ hổng nghiêm trọng thứ hai xuất hiện vào tháng 10 của Confluence. Xuất hiện trước đó là CVE-2023-22515, được công bố vào ngày 4 tháng 10, là lỗ hổng cho phép kẻ tấn công tạo và lạm dụng tài khoản quản trị viên của Confluence. Lỗ hổng này đã bị những kẻ tấn công khai thác tích cực, khiến chính quyền Mỹ phải đẩy mạnh việc vá lỗi.
Hai lỗ hổng nghiêm trọng trong một tháng của Confluence chắc chắn cho thấy việc sử dụng cơ sở dữ liệu tự lưu trữ có mức độ an toàn thấp và viêc sử dụng cloud là một đề xuất tối ưu hơn. Atlassian đồng ý với quan điểm đó nhưng cũng sẽ giữ cho các sản phẩm sử dụng cơ sở dữ liệu tự lưu trữ của mình tồn tại vì không phải khách hàng nào cũng cảm thấy thoải mái khi sử dụng cloud.
Nguồn: The Register