Atlassian中存在0day缝隙风险公告

颁布功夫 2019-12-06

缝隙编号和级别


CVE编号：CVE-2019-15006，危险级别：高危，CVSS分值：官方未评定


影响版本


Atlassian Confluence server


缝隙概述


安全人员SwiftOnSecurity周二更新Twitter，无意中披露了一个影响企业软件业务Atlassian的零日缝隙，该缝隙可能在IBM的Aspera软件中得到体现。SwiftOnSecurity Twitter帐户显示，Atlassian提供了一个使用其Confluence云服务使用通用SSL证书解析到本地服务器的域，以使Atlassian Companion利用法式能够在首选本地利用法式中编纂文件并将文件保留回Confluence。任何拥有足够技术知识的人都能够复造SSL密钥，而后使用它进行中央人攻击，这可能使攻击者将利用法式流量沉定向到恶意站点。


缝隙验证


暂无POC/EXP。


建复建议


目前厂商没有颁布缝隙建复法式，请实时关注更新：https://confluence.atlassian.com/doc/administering-the-atlassian-companion-app-958456281.html。


参考链接


https://www.theregister.co.uk/2019/12/05/atlassian_zero_day_bug/