Dana 16. siječnja 2024. godine, tvrtka Atlassian je objavila sigurnosno upozorenje o kritičnim ranjivostima: Confluence Data Center i Confluence Server, čije iskorištavanje može rezultirati udaljenim izvršavanjem kôda (engl. remote code execution - RCE) na ranjivom poslužitelju. Također su izdana sigurnosna ažuriranja za dvadeset i osam (28) ranjivosti visoke razine rizika, a koje su otklonjene u najnovijim dostupnim inačicama Atlassian sustava.

Tehnički detalji ključnih ranjivosti otklonjenih ovim ažuriranjem:

Kritična ranjivost CVE-2023-22527 (CVSS ocjena 10) proizlazi iz ranjivosti umetanja predložaka (engl. template injection) na zastarjelim verzijama Confluence Data Centera i Servera, što omogućuje neautentificiranom napadaču postizanje udaljenog izvršavanja kôda na ranjivim inačicama. 

Od dvadeset i osam (28) ranjivosti, njih šest (6) može dovesti do udaljenog izvršavanja kôda na nekoliko Atlassian proizvoda.
 

Zahvaćeni proizvodi:

Ranjivost CVE-2023-22527 zahvaća zastarjele verzije Confluence Data Centera i Servera 8 objavljene prije 5. prosinca 2023. godine (tj. verzije Confluence Data Centera i Servera 8.0.x, 8.1.x, 8.2.x, 8.3.x, 8.4.x, 8.5.0-8.5.3), kao i verzije 8.4.5 kojoj je istekla sistemska podrška sigurnosnih nadogradnji u skladu s Atlassianovom politikom popravaka sigurnosnih grešaka. 

Ostale ranjivosti zahvaćaju verzije:

Preporuke: 

Preporučuje se žurno ažuriranje ranjivih Atlassian proizvoda na najnoviju dostupnu inačicu.