KnowSafe 安全预警：KnowSafe 安全团队监测到编号 AVD-2019-3396 的安全漏洞（危害等级：严重）已公开披露，相关用户应尽快排查并完成修复。
漏洞介绍
Confluence Server 与 Confluence Data Center 中的 Widget Connector 存在服务端模板注入漏洞，攻击者构造特定请求可远程遍历服务器任意文件，甚至实现远程命令执行攻击。
已有安全研究人员披露了漏洞利用PoC。
影响范围
应用：atlassian confluence（影响面 Up to (excluding) 6.6.12）
应用：atlassian confluence（影响面 Up to (excluding) 6.13.3）
应用：atlassian confluence（影响面 Up to (excluding) 6.14.2）
应用：atlassian confluence（影响面 Up to (excluding) 6.12.3）
解决方案
1、升级至安全版本。下载链接：
https://www.atlassian.com/software/confluence/download/
https://atlassian.com/software/confluence/download/data-center
2、升级Widget Connector 组件。
Linux系统运行如下命令查找widgetconnector-*.jar文件所在位置：
find / -name "widgetconnector-*"
参考信息
http://packetstormsecurity.com/files/161065/Atlassian-Confluence-6.12.1-Template-Injection.html
http://www.rapid7.com/db/modules/exploit/multi/http/confluence_widget_connector
https://jira.atlassian.com/browse/CONFSERVER-57974
https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2019-3396
KnowSafe 将持续跟踪该漏洞的利用情况与修复进展，如需漏洞管理与应急响应支持，欢迎联系 KnowSafe 安全团队。