Atlassian Confluence路径遍历漏洞(CVE-2024-21677)通告
内容提要
绿盟科技CERT监测到Atlassian发布安全公告，修复了Confluence Data Center and Server中的目录遍历漏洞（CVE-2024-21677），CVSS评分8.3。漏洞影响范围广泛，建议受影响的用户尽快升级至最新版本进行防护。
延伸解读
漏洞影响范围广泛，旧版本风险突出
公告显示，CVE-2024-21677影响Confluence Data Center和Server的多个版本，包括6.13.x、7.0.0至8.8.0之间的众多版本，且明确提到其他已不支持维护的旧版本也受影响。这意味着使用旧版或未及时升级的用户面临较高风险，需尽快排查。
利用需用户交互，但危害程度高
该漏洞CVSS评分为8.3，属于高危漏洞。攻击者无需身份验证，但需要与用户进行交互才能利用，可能通过诱导用户点击恶意链接等方式触发。成功利用后会对系统的机密性、完整性和可用性造成较大影响，因此不能因需要交互而忽视其危害。
升级至安全版本是最佳防护措施
官方已发布修复版本，不受影响的版本包括Confluence Data Center和Server 7.19.20 LTS及以上、8.5.7 LTS及以上，以及Data Center 8.8.1及以上。建议受影响用户尽快升级至对应安全版本。若无法立即升级，可通过限制访问来临时缓解风险。
Q&A
CVE-2024-21677漏洞的影响是什么？
该漏洞影响系统的机密性、完整性和可用性，攻击者需与用户交互才能利用。
哪些版本的Confluence受到CVE-2024-21677漏洞的影响？
受影响版本包括Confluence Data Center 6.13.x及多个Server版本，具体范围详见公告。
如何检测我的Confluence版本是否受此漏洞影响？
用户可通过查看当前Confluence版本是否在受影响范围内进行排查，点击“关于Confluence”可查看当前版本。
如何防护CVE-2024-21677漏洞？
建议受影响用户尽快升级至最新版本以防护漏洞，若无法立即升级，可通过限制访问来临时缓解风险。
CVE-2024-21677的CVSS评分是多少？
该漏洞的CVSS评分为8.3。
不受影响的Confluence版本有哪些？
不受影响版本包括Confluence Data Center和Server 7.19.20 LTS及以上版本。
