בכל הגרסאות של Confluence Server ו-Confluence Data Center קיימת חולשה שמאפשרת למי שאינו מזוהה כלל לאפס את המערכת וליצור בה חשבון מנהל משלו. התוצאה אינה רק גישה לתכנים אלא גם אובדן שלהם, ולכן היצרן מתאר אותה כאיום על הסודיות, השלמות והזמינות של המערכת כאחד. הדירוג הוא 9.8 מתוך 10.
מה החולשה?
השרת מאפשר פעולות ניהול כבדות, ובהן איפוס של המערכת, דרך פנייה שאמורה להיות מורשית למנהל מערכת בלבד. הבדיקה שמוודאת שהפונה מורשה לכך אינה נעשית כראוי, ולכן פנייה שמגיעה מבחוץ, בלי חשבון ובלי סיסמה, מתקבלת. לטעות הזאת קוראים הרשאה לא נאותה, improper authorization.
הצירוף הוא מה שהופך את החולשה לחמורה. האיפוס מביא את המערכת למצב שבו אפשר לרשום בה חשבון מנהל, והתוקף רושם את עצמו. מכאן יש לו כל מה שיש למנהל המערכת. הנתונים שהיו בוויקי, לעומת זאת, אינם חוזרים מעצמם.
כלומר הסיכון כאן אינו רק סודיות. גם ארגון שאין בוויקי שלו שום דבר סודי עלול למצוא בוקר אחד ויקי ריק.
מי מושפע?
היצרן מציין שכל הגרסאות של Confluence Data Center ו-Confluence Server מושפעות. גרסאות התיקון שמופיעות ברשימה הן 7.19.16, 8.3.4, 8.4.4 ו-8.5.3, ומלבדן מופיעה גם 8.6.0 כגרסה מושפעת, כך שמי שנמצא על סדרת 8.6 צריך את הודעת היצרן לגרסה המדויקת. אתרי הענן של Atlassian בכתובת atlassian.net אינם מושפעים.
הטווח הוא מה שמייחד את החולשה הזאת. ארגון שמריץ Confluence ותיק, מהסוג שיושב בפינה ועובד בשקט כבר שנים, נמצא בתוך הרשימה בדיוק כמו מי שמעדכן בקביעות.
האם מנוצלת בפועל?
כן, אבל זה השתנה אחרי הפרסום, וכדאי לשים לב לסדר. בהודעה שפורסמה ב-NVD ב-31 באוקטובר 2023 תיאר היצרן את החולשה כמי שטרם נוצלה. שבוע אחר כך, ב-7 בנובמבר, הוסיפה CISA את החולשה לקטלוג ה-KEV שלה, רשימת החולשות שידוע שתוקפים משתמשים בהן בפועל.
שבוע. זה הפער שבין "קיימת ולא נוצלה" ובין "מנוצלת בשטח" בחולשה בשרת שמחובר לאינטרנט.
מה עושים?
עדכנו לגרסת התיקון שמתאימה לסדרה שלכם: 7.19.16 למי שנמצא על 7.19 או מתחת לה, ואחרת 8.3.4, 8.4.4 או 8.5.3. מי שנמצא על 8.6.0 יפעל לפי ההודעה של Atlassian, שהיא גם המקור לגרסאות האלה.
עד שהעדכון מותקן, חסמו את הגישה לשרת מהאינטרנט. הפנייה שמנצלת את החולשה מגיעה מבחוץ ואינה דורשת חשבון, ולכן חשיפה לאינטרנט היא כאן התנאי המרכזי.
וכאן צעד שייחודי לחולשה הזאת: ודאו שיש לכם גיבוי עדכני של Confluence ושבדקתם בפועל שאפשר לשחזר ממנו. חולשה שמאפשרת לאפס את השרת מאיימת על הנתונים עצמם, וגיבוי שלא נבדק הוא גיבוי שאינכם יודעים אם יש לכם. אחרי העדכון, עברו על רשימת חשבונות המנהל וחפשו חשבון שלא אתם פתחתם.