A fabricante de software empresarial Atlassian emitiu na quinta-feira um novo alerta sobre a potencial exploração de uma recente vulnerabilidade de gravidade crítica no Confluence Data Center e no Confluence Server.
Rastreada como CVE-2023-22518 (pontuação CVSS de 9,1), a falha é descrita como um problema de autorização imprópria que pode levar à grave perda de dados. Todas as versões da solução de colaboração são afetadas.
A Atlassian lançou patches para o bug e o CISO da empresa, Bala Sathiamurthy, instou na segunda-feira as organizações a aplicarem as correções o mais rápido possível, citando a gravidade do bug.
“Como parte de nossos processos contínuos de avaliação de segurança, descobrimos que os clientes do Confluence Data Center e Server são vulneráveis a perdas significativas de dados se explorados por um invasor não autenticado”, disse Sathiamurthy.
Na quinta-feira, a fabricante de software atualizou seu consultivo sublinhar um risco acrescido de exploração após a divulgação pública de informações técnicas sobre CVE-2023-22518 e potenciais vetores de exploração.
“Como parte do monitoramento contínuo deste CVE pela Atlassian, observamos informações críticas publicadas publicamente sobre a vulnerabilidade, o que aumenta o risco de exploração”, disse a empresa.
O novo aviso veio no mesmo dia em que o ProjectDiscovery publicou um análise das alterações que a Atlassian fez para resolver a falha, o que os levou a identificar um manipulador de método que não possui verificações suficientes, permitindo ignorar a autenticação se os parâmetros corretos forem fornecidos em uma solicitação.
O ProjectDiscovery também lançou um modelo baseado em detecção direcionado à vulnerabilidade e o momento da publicação sugere que a Atlassian estava se referindo a esse código de exploração em seu comunicado atualizado.
Embora pareça não haver evidências de exploração espontânea do CVE-2023-22518, a gravidade crítica do bug exige uma ação rápida, sublinhou o fornecedor do software.
“Ainda não há relatos de exploração ativa, embora os clientes devam tomar medidas imediatas para proteger suas instâncias. Se você já aplicou o patch, nenhuma ação adicional será necessária”, observou Atlassian.
As versões 7.19.16, 8.3.4, 8.4.4, 8.5.3 e 8.6.1 do Confluence Data Center e Server contêm as correções necessárias para esse bug.