一 漏洞概述

Confluence Server 和 Data Center 在页面导出功能中存在本地文件泄露漏洞：具有“添加页面”空间权限的远程攻击者，能够读取 <install-directory>/confluence/WEB-INF/ 目录下的任意文件。该目录可能包含用于与其他服务集成的配置文件，可能会泄漏认证凭据，例如 LDAP 认证凭据或其他敏感信息。
8 月 28 日，Atlassian Confluence 官方发布安全通告，修复了存在于 Confluence 中的一处本地文件泄露漏洞（CVE-2019-3394）。

二 漏洞危害

有“添加页面”空间权限的远程攻击者，能够读取 <install-directory>/confluence/WEB-INF/ 目录下的任意文件。该目录可能包含用于与其他服务集成的配置文件，可能会泄漏认证凭据，例如 LDAP 认证凭据或其他敏感信息。

三 影响版本

6.1.0 <= version < 6.6.16
6.7.0 <= version < 6.13.7
6.14.0 <= version < 6.15.8

四 复现过程

无

五 影响范围

根据 ZoomEye 网络空间搜索引擎[1]对关键字 “Confluence” 进行搜索，共得到89,238 条 IP 历史记录，主要分布在美国、中国等国家。

六 修复建议

1、升级 Confluence 到已修复漏洞的更新版本：6.15.8 或 6.13.7 或 6.6.16。

2、检查 <install-directory>/confluence/WEB-INF 目录及其子目录（尤其是 /classes/ 目录），看是否有文件包含 LDAP 或 Crowd 认证凭据（比如 crowd.properties 和 atlassian-user.xml 文件），以及其他可能含有敏感信息的文件。如若发现含有认证凭据的敏感文件，建议对相关密码进行修改。

七 相关链接

ZoomEye 网络空间搜索引擎：https://www.zoomeye.org/searchResult?q=Confluence