Atlassian: Kritische Sicherheitslücke in Confluence
In der Wiki-Software Confluence(öffnet im neuen Fenster) wurde eine Sicherheitslücke entdeckt, die es Angreifern ermöglicht, eigenen Code auf den Servern auszuführen. Atlassian stellt für mehrere Versionen Patches und Updates bereit. Betroffen sind nur die Nutzer von selbst gehosteten Confluence-Servern, die Cloud-Variante ist nicht betroffen.
Geschlossen ist die Lücke in den Versionen 6.13.23, 7.4.11, 7.11.6, 7.12.5 und 7.13.0. Atlassian empfiehlt den Einsatz der aktuellen Long-Time-Support-Version - das ist 7.13.0 -, ist sich aber auch bewusst, dass ein direktes Upgrade darauf nicht von allen Versionen aus möglich ist.
Auch können manche Unternehmen im Betrieb befindliche Software nicht sofort mit einem Update versorgen. Als Übergangslösung gibt es daher ein Script, dass von Admins genutzt werden kann, um die Lücke schnell temporär zu beseitigen. Details können auf Atlassians Seite zu dem Bug(öffnet im neuen Fenster) eingesehen werden.
Lücke in der OGNL-Implementierung
Bei der Sicherheitlücke handelt es sich um einen Fehler in der Object-Graph Navigation Language (OGNL), der dazu führt, dass beliebiger Code auf dem Server ausgeführt werden kann. In den meisten Fällen ist zur Ausnutzung der Lücke zwar eine Authentifizierung nötig, jedoch gibt es in Ausnahmefällen diese Einschränkung nicht.
Die Einstufung des Bugs als kritisch basiert auf dem nach dem Industriestandard CVSS(öffnet im neuen Fenster) ermittelten Wert von 9,8 von 10 möglichen Punkten. Entdeckt hat ihn der Sicherheitsexperten Benny Jacob.
Die CVE-Nummer ist CVE-2021-26084(öffnet im neuen Fenster) , das zugehörige Jira-Issue bei Atlassian kann öffentlich eingesehen(öffnet im neuen Fenster) werden. Genaueres zu dem Bug inklusive der Informationen, was genau sich wie ausnutzen ließ, ist noch nicht bekannt und weiterhin als vertraulich eingestuft.