Confluence 远程代码执行漏洞被黑产大规模利用_程序员世界

Confluence 远程代码执行漏洞被黑产大规模利用

8月26日，Atlassian官方发布公告，披露了一个Atlassian Confluence 远程代码执行漏洞（CVE-2021-26084)，攻击者利用漏洞可完全控制服务器。8月31日晚，腾讯云原生安全漏洞检测响应平台通过主机安全（云镜）检测到首个利用该漏洞的在野攻击案例。

腾讯安全旗下全系列企业级产品均已支持检测防御利用Atlassian Confluence远程代码执行漏洞的攻击活动。

腾讯安全专家指出，尽管我们迅速作出响应，及时向公众通报本次安全漏洞的风险，并成功在其他研究人员将漏洞POC(概念验证代码）上传到GitHub之前10小时检测到攻击测试流量，但网络黑产利用该漏洞发起攻击的速度之快，令团队成员印象深刻。

腾讯安全专家再次提醒所有采用Atlassian Confluence作知识管理和协同应用的政企客户，尽快升级到安全版本以修复漏洞。腾讯安全网络空间测绘数据显示，Atlassian Confluence应用广泛，中国占比为全球最高（21.46%）、其次是美国（21.36%）、德国（18.40%）。

截止9月2日，腾讯安全团队已检测到至少7个网络黑产团伙在利用该漏洞发起的攻击行动，已部署腾讯T-Sec主机安全专业版、T-Sec Web应用防火墙的客户成功抵御黑客攻击，保护数千台主机免于失陷。

腾讯安全检测到黑客攻击活动示例：

时间线：

2021年8月25日，Atlassian官方发布安全通告，披露了一个Atlassian Confluence 远程代码执行漏洞（CVE-2021-26084)，攻击者利用漏洞可以完全控制服务器；
2021年8月26日，腾讯安全发布风险通告；
2021年8月31日，腾讯安全捕获Atlassian Confluence 远程代码执行漏洞在野利用；
2021年9月1日，漏洞poc公开在GitHub；
2021年9月1日晚，腾讯安全检测到多个不同的挖矿木马团伙、僵尸网络团伙利用Atlassian Confluence 远程代码执行漏洞洞攻击云主机；
2021年9月2日，腾讯安全检测到利用该漏洞攻击的黑产团伙增加到7个，挖矿家族5个：kwroksminer，iduckminer，h2miner，8220Miner，z0miner；僵尸网络家族2个：mirai，BillGates，腾讯安全全栈安全产品成功保护数千台云主机免于失陷。

IOCs

下一节：Docker 宣布对其产品的订阅方案进行了更新，更新内容包括使用"Docker Personal"订阅来代替此前的"Docker Free"订阅，以及增加新的订阅方案——"Docker Business"。