Atlassian中存在0day缝隙风险公告

颁布功夫 2019-12-06

缝隙编号和级别


CVE编号：：：CVE-2019-15006，，，危险级别：：：高危，，，CVSS分值：：：官方未评定


影响版本


Atlassian Confluence server


缝隙概述


安全人员SwiftOnSecurity周二更新Twitter，，，无意中披露了一个影响企业软件业务Atlassian的零日缝隙，，，该缝隙可能在IBM的Aspera软件中得到体现。SwiftOnSecurity Twitter帐户显示，，，Atlassian提供了一个使用其Confluence云服务使用通用SSL证书解析到本地服务器的域，，，以使Atlassian Companion利用法式能够在首选本地利用法式中编纂文件并将文件保留回Confluence。任何拥有足够技术知识的人都能够复制SSL密钥，，，而后使用它进行中央人攻击，，，这可能使攻击者将利用法式流量重定向到恶意站点。


缝隙验证


暂无POC/EXP。


修复建议


目前厂商没有颁布缝隙修复法式，，，请实时关注更新：：：https://confluence.atlassian.com/doc/administering-the-atlassian-companion-app-958456281.html。


参考链接


https://www.theregister.co.uk/2019/12/05/atlassian_zero_day_bug/