Atlassian: Sicherheitslücke in Confluence wird massenhaft ausgenutzt

Tausende Confluence-Server wurden noch nicht gepatcht. Das US-Cybercom warnt vor der Sicherheitslücke, die massenhaft ausgenutzt wird.

Artikel veröffentlicht am 6. September 2021, 18:07 Uhr, Moritz Tremmel

Ein Server (Bild: Edgar Oliver/Pixabay)

Eine vor knapp zwei Wochen gepatchte Sicherheitslücke in der Wiki-Software Confluence wird massenhaft ausgenutzt. Das schreibt die US-Militärorganisation Cybercom in einer öffentlichen Warnung. Die Sicherheitslücke ermöglicht es, eigenen Code auf den Servern auszuführen.

"Die massenhafte Ausnutzung von Atlassian Confluence CVE-2021-26084 ist im Gange und wird voraussichtlich noch zunehmen. Bitte patchen Sie sofort, wenn Sie es noch nicht getan haben", teilte US Cybercom am Freitag vor dem Feiertag Labor Day in einem Tweet mit.

Confluence-Hersteller Atlassian hatte am 25. August einen Hinweis auf die Sicherheitslücke (CVE-2021-26084) veröffentlicht und sie mit den Versionen 6.13.23, 7.4.11, 7.11.6, 7.12.5 und 7.13.0 behoben. Betroffen sind nur die Nutzer von selbst gehosteten Confluence-Servern, nicht die der Cloud-Variante. Atlassian selbst spricht von einer "kritischen Sicherheitslücke".

Lücke in der OGNL-Implementierung

Bei der Sicherheitslücke handelt es sich um einen Fehler in der Object-Graph Navigation Language (OGNL), der dazu führt, dass beliebiger Code auf dem Server ausgeführt werden kann. In den meisten Fällen ist zur Ausnutzung der Lücke zwar eine Authentifizierung nötig, jedoch gibt es in Ausnahmefällen diese Einschränkung nicht.

Mehrere Sicherheitsforscher hatten daraufhin einen Proof-of-Concept-Code veröffentlicht, der demonstriert, wie die Sicherheitslücke ausgenutzt werden kann. "Am 31. August identifizierte Censys 13.596 verwundbare Confluence-Instanzen, während diese Zahl am 02. September auf 11.689 verwundbare Instanzen gesunken ist", erklärte die Sicherheitsfirma Censys in einem Blogeintrag. Am 5. September seien es noch 8.597 gewesen.