雷神众测漏洞周报2023.10.09-2023.10.15

1.Atlassian Confluence 权限提升漏洞

漏洞介绍：

Confluence是一个专业的企业知识管理与协同软件，也可以用于构建企业wiki。使用简单，它强大的编辑和站点管理特征能够帮助团队成员之间共享信息、文档协作、集体讨论，信息推送。

漏洞危害：

Atlassian收到客户报告的一个问题，即攻击者可以利用有访问权限的Confluence Data Center and Server实例漏洞在未授权的情况下创建Confluence管理员用户并以管理员权限进入Confluence后台。

漏洞编号：

CVE-2023-22515

影响范围：

Atlassian Confluence 8.0.0

Atlassian Confluence 8.0.1

Atlassian Confluence 8.0.2

Atlassian Confluence 8.0.3

Atlassian Confluence 8.0.4

Atlassian Confluence 8.1.0

Atlassian Confluence 8.1.1

Atlassian Confluence 8.1.3

Atlassian Confluence 8.1.4

Atlassian Confluence 8.2.0

Atlassian Confluence 8.2.1

Atlassian Confluence 8.2.2

Atlassian Confluence 8.2.3

Atlassian Confluence 8.3.0

Atlassian Confluence 8.3.1

Atlassian Confluence 8.3.2

Atlassian Confluence 8.4.0

Atlassian Confluence 8.4.1

Atlassian Confluence 8.4.2

Atlassian Confluence 8.5.0

Atlassian Confluence 8.5.1

修复方案：

官方修复方案：建议您更新当前系统或软件至最新版，完成漏洞的修复。

临时缓解方案:

1）修改 /<confluence-install-dir>/confluence/WEB-INF/web.xml 文件，并添加以下内容（就在文件末尾的 </web-app> 标签之前）：

<security-constraint>

      <web-resource-collection>

        <url-pattern>/setup/*</url-pattern>

      <http-method-omission>*</http-method-omission>

    </web-resource-collection>

      <auth-constraint />

  </security-constraint>

2）重新启动 Confluence。

来源：安恒信息CERT

3. 浙江大华技术股份有限公司智慧园区综合管理平台存在SQL注入漏洞

漏洞介绍：

浙江大华技术股份有限公司，是全球领先的以视频为核心的智慧物联解决方案提供商和运营服务商。

漏洞危害：

浙江大华技术股份有限公司智慧园区综合管理平台存在SQL注入漏洞，攻击者可以利用漏洞获取数据库配置信息。

影响范围：

浙江大华技术股份有限公司 智慧园区综合管理平台

修复方案：

及时测试并升级到最新版本或升级版本

来源：CNVD