Page tree
Skip to end of metadata
Go to start of metadata

EN

Confluence Server & Data Center Security advisory - Local File Disclosure Vulnerability - CVE-2019-3394 published by Atlassian on August 28th 2019

Atlassian issued a security alert that may affect you. It covers all versions of Confluence from 6.1.0: Local File Disclosure Vulnerability - CVE-2019-3394.

What are the risks? 

This critical vulnerability allows a potential remote attacker with the "Add Page" space permission in your Confluence to view the contents of the files located in the WEB-INF directory of your instance. Credentials can then be accessed through these files. This folder sometimes contains the connection to the LDAP directory when it is done outside the graphical interface (however, this method is rarely used today) and SSO Crowd. 


How to protect your instance? 


→ If your instance is hosted by Valiantys

You benefit from all our expertise and service commitment. Please note that we have conducted an impact analysis on all Confluence instances managed by our teams and that we have contacted all customers affected by this vulnerability by submitting the remediation plan to them.

If you have not been contacted, it is because you are not concerned by this vulnerability. Regarding customers whose instances are impacted, we will upgrade their Confluence version to fix the problem.

We thank you for your confidence in our Cloud offer and we would be happy to help you if you have any questions.


→ If your instance isn't hosted by Valiantys

We could not verify if it is exposed or not to this vulnerability.

We recommend that you check as soon as possible if you have an atlassian-user.xml or crowd.properties file containing credentials in your WEB-INF folder. If this is the case, you must upgrade your Confluence instance. Otherwise, you don't have to do anything.

If you need assistance to verify your exposure to this security vulnerability, take advantage of your Valiantys Support contract and create a ticket on our dedicated portal. 

If you need help upgrading your instance, contact us.



Nathan Chantrenne
CTO Valiantys

FR

Faille de sécurité Confluence Server & Data Center- Local File Disclosure Vulnerability - CVE-2019-3394 publiée par Atlassian le 28 août 2019


Atlassian a publié une alerte de sécurité qui peut vous concerner. Elle porte sur toutes les versions de Confluence à partir de 6.1.0 : Local File Disclosure Vulnerability - CVE-2019-3394.


Quels sont les risques ? 

Cette vulnérabilité permet à un attaquant potentiel à distance ayant la permission "créer une page" dans votre Confluence de visualiser le contenu des fichiers localisés dans le dossier WEB-INF de votre instance. Des informations de connexion peuvent alors être accessibles à travers ces fichiers. Ce répertoire contient en effet parfois la connexion à l'annuaire LDAP quand celle-ci est réalisée hors de l'interface graphique (cette méthode reste cependant très peu utilisée de nos jours) et le SSO Crowd. 


Comment vous protéger ? 


→ Si votre instance est hébergée dans le Cloud Valiantys :

Vous bénéficiez ainsi de toute notre expertise et engagement de service. Sachez que nous avons mené une analyse d'impact sur toutes les instances Confluence gérées par nos équipes et que nous avons contacté tous les clients concernés par cette faille en leur soumettant le plan de remédiation. 

Si vous n'avez pas été contacté, c'est que vous n'êtes pas concerné par cette vulnérabilité. Pour les clients dont les instances sont impactées : elles seront mises à jour par nos services afin de régler le problème.

Nous vous remercions de votre confiance dans notre offre Cloud et nous restons à votre disposition si vous avez des questions.

→ Si votre instance n'est pas hébergée dans le Cloud Valiantys :

Nous n'avons pu vérifier si elle est exposée ou non à cette vulnérabilité.

Nous vous recommandons de contrôler dès que possible si vous avez un fichier atlassian-user.xml ou crowd.properties contenant un mot de passe dans votre dossier WEB-INF. Si c'est le cas, vous devez effectuer une montée de version de votre instance Confluence. Sinon, vous n'avez rien à faire.

Si vous avez besoin d'assistance pour vérifier votre exposition à cette faille de sécurité, profitez de votre contrat de Support Valiantys et créez un ticket sur notre portail dédié. 

Si vous avez besoin d'aide pour upgrader votre instance, contactez-nous.



Nathan Chantrenne
CTO Valiantys

  • No labels