Inhaltsverzeichnis
XML Parsing Lücke
Schweregrad der Lücke
Gemäß der Klassifizierung von Atlassian hat diese Lücke den Schweregrad der höchsten Kategorie 'kritisch'. Atlassian unterscheidet zwischen den Kategorien niedrig, mittel, hoch und kritisch.
Bewertung des Schweregrads durch //SEIBERT/MEDIA
Analog zu den Kategorien niedrig, mittel, hoch und kritisch stuft //SEIBERT/MEDIA die Lücke für seine Kunden unterschiedlich nach der Umgebung und Art des Betriebs wie folgt ein:
Umgebung / Art des Betriebs | Kategorie |
|---|---|
Betrieb im Intranet / Kein Zugriff aus dem Internet | hoch |
Öffentlicher Zugriff / Zugriff aus dem Internet möglich | kritisch |
Beschreibung
Es existiert eine Sicherheitslücke im XML-Parser von Confluence, die einen Angreifer ermöglicht:
- eine Denial of Service (DoS) Attacke gegen den Confluenceserver auszuführen
- alle Dateien auf dem Betriebssystem unter dem Benutzer zu lesen, mit welchen Confluence betrieben wird
Ein Angreifer benötigt keinen Zugang / Benutzer um diese Lücken zu missbrauchen. Es ist auch kein anonymer Zugang erforderlich. Es genügt, wenn Confluence für den Angreifer erreichbar ist.
Betroffene Versionen
Alle Versionen einschließlich Version 4.1.9 sind betroffen.
Das Plugin Gliffy ist von dieser Lücke ebenso betroffen.
Workarounds / Risikominimierung
Es wird empfohlen, ein Upgrade von Confluence durchzuführen, da es keine effektiven Workarounds oder Patches gibt.
Kunden können jedoch folgende Maßnahmen ergreifen, um das Risiko eines Angriffs zu minimieren:
- Sperrung des Zugriffs auf die SOAP und XML-RPC APIs. Wie Sie diese deaktivieren können, können Sie diesem Link entnehmen.
- Deaktivieren Sie folgende Plugins oder Module
- Office Connector plugin
- Das JUnitReport macro module der Advanced Macros
- Jira Macros Plugin
- WebDAV
- Deaktivieren Sie den anonymen Zugriff
Behebung
Die Sicherheitslücke lässt sich nur vollständig durch ein Upgrade von Confluence beheben. Folgende Upgradepfade stehen zur Verfügung:
- Confluence 4.1.x > Confluence 4.1.10
- Confluence 4.0.x > Confluence 4.0.7
- Confluence 3.5.x > Confluence 3.5.16
Ältere Versionen von Confluence müssen mindestens auf Confluence 3.5.16 aktualisieren, um vollständig geschützt zu sein. Es stehen keine Patches zur Verfügung.
Das Gliffy-Plugin muss auf Version 4.2 aktualisiert werden.