黑客“盯上了” Atlassian Confluence RCE 漏洞
内容提要
安全研究人员发现威胁攻击者利用CVE-2023-22527漏洞发起网络攻击。Confluence已提供修复程序，但Shadowserver记录了数千次攻击尝试，大部分来自俄罗斯IP地址。建议管理员更新到最新版本以确保安全。
延伸解读
漏洞影响范围与修复版本
CVE-2023-22527影响Confluence Data Center和Server的多个版本，包括8.0.x至8.4.x以及8.5.0至8.5.3。攻击者无需验证即可远程执行任意代码，风险极高。文章指出，8.5.4（LTS）、8.6.0（仅数据中心）和8.7.1（仅数据中心）及更高版本已提供修复程序。管理员应核对自身版本，若在受影响范围内需尽快升级。
攻击活跃度与来源特征
Shadowserver记录到超过39000次利用尝试，来自600多个不同IP地址，大部分源自俄罗斯IP。攻击者通过执行“whoami”命令探测系统权限，表明其正在收集访问级别信息。尽管扫描发现11100个可公开访问的Confluence实例，但并非所有实例都存在该漏洞。这些数据说明漏洞利用已形成规模化攻击活动，需引起重视。
处置建议与风险排查
安全专家建议管理员确保端点至少更新到2023年12月5日之后发布的版本。对于仍在使用过时Confluence实例的组织，应将其视为潜在已失陷状态，主动寻找利用迹象并进行彻底清理，再更新到安全版本。文章提到该漏洞已被国家背景攻击者和勒索软件团伙利用，因此仅升级可能不够，还需排查历史入侵痕迹。
Q&A
CVE-2023-22527 漏洞影响哪些 Confluence 版本？
该漏洞影响 Confluence Data Center 和 Confluence Server 的 8.0.x、8.1.x、8.2.x、8.3.x、8.4.x 以及 8.5.0 至 8.5.3 版本。
CVE-2023-22527 漏洞的危险性体现在哪里？
它允许未经验证的远程攻击者在易受攻击的 Confluence 实例上执行任意代码，从而完全控制系统。
目前有哪些 Confluence 版本修复了该漏洞？
Confluence 数据中心和服务器版本 8.5.4 (LTS)、8.6.0（仅限数据中心）和 8.7.1（仅限数据中心）及更高版本已提供修复程序。
Shadowserver 观察到的攻击尝试规模和来源如何？
Shadowserver 记录了超过 39000 次利用尝试，来自 600 多个不同的 IP 地址，其中大部分攻击来自俄罗斯 IP 地址。
攻击者利用该漏洞时执行了什么命令？目的是什么？
攻击者通过执行 'whoami' 命令尝试回调，以收集有关系统访问级别和权限的资料信息。
有多少 Confluence 实例暴露在公共互联网上？是否都受漏洞影响？
Shadowserver 检测到 11100 个可通过公共互联网访问的 Confluence 实例，但并非所有实例都运行存在 CVE-2023-22527 漏洞的版本。
管理员应采取哪些措施来防范该漏洞？
网络安全专家建议管理员确保端点至少更新到 2023 年 12 月 5 日之后发布的版本；对于仍在使用过时 Confluence 实例的组织，应将其视为潜在危害，寻找利用迹象，进行彻底清理，并更新到安全版本。
