漏洞影响范围

6.1.0 <= version <6.6.16
6.7.0 <= version <6.13.7
6.14.0 <= version <6.15.8

触发条件

1.一个有效的登录账号
2.该账号具有在空间「添加页面」的权限

复现步骤

0.下载安装受影响的Confluence，例如6.3.1

URL 直链:https://product-downloads.atlassian.com/software/confluence/downloads/atlassian-confluence-6.3.1-x64.bin
1.创建一个空白页
2.插入一张网络图片


插入url改为你需要查看的文件，例如/packages/../web.xml
3.点击发布，抓取报文
4.删除多余url前缀,只留下/packages/../web.xml,并放开报文
5.查看页面源码确认修改成功
6.导出word，并抓包查看

路径说明

由于catalina.jar中的org.apache.catalina.webresources.StandardRoot.class的getResource方法的validate存在过滤和限制，所以可遍历路径均在/WEB-INF下

可读取的文件大致如下

#WEB-INF下
decorators.xml
glue-config.xml
server-config.wsdd
sitemesh.xml
urlrewrite.xml
web.xml
#/WEB-INF/classes下
confluence-filtered-frames.properties
confluence-init.properties
crowd.properties(较为重要)
hash-registry.properties
lgplTemplate.soy
log4j-diagnostic.properties
log4j.properties
logging.properties
mime.types
osuser.xml
seraph-config.xml
seraph-paths.xml
velocity_implicit.vm
velocity.properties

修复方法

升级到最新版本即可

Reference