遠端主機上執行的 Atlassian Confluence Server 版本受到 CONFSERVER-98484 公告中提及的一個弱點影響。

  - 透過函式型網頁架構 WebMvc.fn 或 WebFlux.fn 提供靜態資源的應用程式容易遭受路徑遊走攻擊。攻擊者可特製惡意的 HTTP 要求，並取得檔案系統上執行 Spring 應用程式的處理程序也可存取的任何檔案。
    具體而言，當下列兩個條件都為 true 時，應用程式即容易遭受攻擊：* Web 應用程式使用 RouterFunctions 提供靜態資源 * 資源處理是以 FileSystemResource 位置明確設定。然而，當下列任一條件為 true 時，會封鎖並拒絕惡意要求：* Spring Security HTTP Firewall https://docs.spring.io/spring-security/reference/servlet/exploits/firewall.html 正在使用中 * 應用程式在 Tomcat 或 Jetty 上執行 (CVE-2024-38816)

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

偵測

Atlassian Confluence 3.x < 7.19.29 / 8.0.x < 8.5.17 / 8.6.x < 8.9.8 / 9.0.1 < 9.1.1 (CONFSERVER-98484)

high Nessus Plugin ID 215061

找不到依附元件