Atlassian修复了一个关键的Confluence漏洞

近期，关键Atlassian发布了安全更新 ，关键以解决Confluence服务器和数据中心中的关键一个严重硬编码凭据漏洞
，该漏洞编号为CVE-2022-26138 ，关键未经身份验证的关键远程攻击者可以利用该漏洞登录未打补丁的服务器 。一旦安装了Questions for Confluence 应用程序（版本 2.7.34 、关键2.7.35 和 3.0.2），免费模板关键就会创建一个用户名为“ disabledsystemuser ”的关键 Confluence 用户帐户。根据 Atlassian的关键说法，该帐户允许管理员将数据从应用程序迁移到Confluence Cloud
。关键并且该帐户是关键使用硬编码密码创建的 ，并被添加到 confluence-users组 ，亿华云关键默认情况下允许查看和编辑 Confluence中的关键所有非受限页面。

根据Atlassian 发布的关键公告
，当Confluence Server或Data Center上的关键Questions for Confluence 应用程序启用时 ，它会创建一个用户名为 disabledsystemuser 的 Confluence 用户帐户 。此帐户旨在帮助将数据从应用程序迁移到 Confluence Cloud 的模板下载管理员 。disabledsystemuser 帐户是使用硬编码密码创建的，并被添加到 confluence-users 组中，默认情况下允许查看和编辑 Confluence 中的所有非受限页面 。 知道硬编码密码的未经身份验证的源码下载攻击者可以利用它登录 Confluence 并访问该组可以访问的任何页面。

该公司指出，卸载Questions for Confluence 应用程序并不能解决此漏洞，因为在卸载应用程序后  ，disabledsystemuser 帐户不会被删除。受影响的 Confluence Server 或 Data Center 实例的管理员可以通过以下操作修复此漏洞
 ：

选项 1：更新到 Confluence 的建站模板非易受攻击版本选项 2：禁用或删除 disabledsystemuser 帐户

幸运的是，目前Atlassian并没有收到利用此漏洞进行的野外攻击。要确定是否有人使用硬编码密码登录到 disabledsystemuser 帐户，管理员可以获取用户上次登录时间的列表，服务器租用如果硬编码帐户的上次身份验证时间为空，则意味着该帐户从未用于访问设备。