Una grave RCE è stata rilevata su Atlassian Confluence Data Center e Server. Aggiornare immediatamente

E’ stata recentemente rilevato un bug di sicurezza su Atlassian Confluence Data Center e Server monitorato con il CVE-2023-22522, valutato con un CVSSv3 pari a 9.0 (Critical). La vulnerabilità ancora non è stata valutata dal National Institute of Standards and Technology degli Stati Uniti D’America.

Questa vulnerabilità consente a un utente malintenzionato autenticato, incluso un utente con accesso anonimo, di inserire input utente non sicuri in una pagina Confluence. Utilizzando questo approccio, è possibile ottenere una Remote Code Execution (RCE) su un’istanza interessata. 

Le versioni Confluence Data Center e Server elencate di seguito sono a rischio e richiedono attenzione immediata riporta Atlassian che valuta il livello di gravità di questa vulnerabilità come critico.

Questa vulnerabilità RCE (Remote Code Execution) interessa tutte le versioni, inclusa e successiva alla 4.0.0, di Confluence Data Center e Server. Atlassian consiglia di eseguire l’aggiornamento alla versione più recente o a una versione LTS fissa.

Viene consigliato anche di applicare a ciascuna delle installazioni la versione più recente o a una delle versioni corrette elencate di seguito.

Al momento non esiste alcuna mitigazione, se non applicare le patch di sicurezza rilasciate dal produttore che inoltre consiglia di:

• Eseguire il backup della tua istanza.
• Rimuovere l’istanza da Internet finché non puoi applicare la patch. Alle istanze accessibili all’Internet pubblica, comprese quelle con autenticazione utente, dovrebbe essere vietato l’accesso alla rete esterna fino a quando non sarà possibile applicare le patch.

Ti è piaciuto questo articolo? Ne stiamo discutendo nella nostra Community su LinkedIn, Facebook e Instagram. Seguici anche su Google News, per ricevere aggiornamenti quotidiani sulla sicurezza informatica o Scrivici se desideri segnalarci notizie, approfondimenti o contributi da pubblicare.

Agostino Pellegrino

E’ un libero professionista, insegnante e perito di informatica Forense, Cyber Security ed Ethical Hacking e Network Management. Ha collaborato con importanti istituti di formazione a livello internazionale e ha esercitato teaching e tutorship in tecniche avanzate di Offensive Security per la NATO ottenendo importanti riconoscimenti dal Governo degli Stati Uniti. Il suo motto è “Studio. Sempre”.

Aree di competenza: Cybersecurity architecture, Threat intelligence, Digital forensics, Offensive security, Incident response & SOAR, Malware analysis, Compliance & frameworks