CVE-2019-3398 - Confluence路径遍历漏洞警报

2019年4月17日，Confluence正式发布安全公告。 Confluence Server和Data Center产品在downloadallattachments资源中有一个路径遍历漏洞。 “有权向页面和/或博客添加附件，或创建新空间或个人空间，或者对空间具有”管理员“权限的远程攻击者可以利用此路径遍历漏洞将文件写入任意位置 这可能导致在运行易受攻击的Confluence Server或数据中心版本的系统上执行远程代码。“

Confluence正式将此漏洞评为严重级别。 建议用户及时更新Confluence Server或数据中心以避免黑客入侵。

受影响的产品：

• Confluence Server
• Confluence Data Center

受影响的版本：

• All versions prior to 6.6.14
• All versions 6.7.x-6.11.x
• All 6.12.x versions prior to 6.12.4
• All previous 6.13.x versions prior to 6.13.4
• All previous 6.14.x versions prior to 6.14.3
• All 6.15.x versions prior to 6.15.2

未受影响的版本

Confluence服务器或数据中心版本：

• 6.6.13
• 6.13.4
• 6.14.3
• 6.15.2

解决方案

将您的软件更新到未受影响的版本。

如果您无法立即升级Confluence，那么作为临时解决方法，您应该阻止受影响的 <base-url>/<context-path>/pages/downloadallattachments.action URL。 禁用此URL将阻止任何人通过附件页面或附件宏下载所有附件。 下载单个附件仍然有效。

要在Tomcat中直接阻止URL：

1. 停止 Confluence.
2. 编辑 <install-directory>/conf/server.xml.

3. 在<Host>元素中添加以下内容：

   <Context path="/pages/downloadallattachments.action" docBase="" >
   <Valapp className="org.apache.catalina.valapps.RemoteAddrValapp" deny="*" />
   </Context>

   如果使用上下文路径运行Confluence，例如/wiki，则需要在路径中包含上下文路径，如下所示：

   <Context path="/wiki/pages/downloadallattachments.action" docBase="" >
   <Valapp className="org.apache.catalina.valapps.RemoteAddrValapp" deny="*" />
   </Context>

4. 保存文件，然后重新启动Confluence。

为核实工作方法是否正确适用:

1. 导航到包含2个或更多附件的页面或博客。
2. 转到>附件，然后单击下载所有附件。

您应该看到404错误，不应下载任何文件。