漏洞影响范围
6.1.0 <= version <6.6.16
6.7.0 <= version <6.13.7
6.14.0 <= version <6.15.8
触发条件
1.一个有效的登录账号
2.该账号具有在空间「添加页面」的权限
复现步骤
- 0.下载安装受影响的Confluence，例如
6.3.1
URL 直链:https://product-downloads.atlassian.com/software/confluence/downloads/atlassian-confluence-6.3.1-x64.bin - 1.创建一个空白页
- 2.插入一张网络图片
插入url改为你需要查看的文件，例如/packages/../web.xml - 3.点击发布，抓取报文
- 4.删除多余url前缀,只留下
/packages/../web.xml,并放开报文
- 5.查看页面源码确认修改成功
- 6.导出word，并抓包查看
路径说明
由于catalina.jar中的org.apache.catalina.webresources.StandardRoot.class的getResource方法的validate存在过滤和限制，所以可遍历路径均在/WEB-INF下
可读取的文件大致如下
#WEB-INF下
decorators.xml
glue-config.xml
server-config.wsdd
sitemesh.xml
urlrewrite.xml
web.xml
#/WEB-INF/classes下
confluence-filtered-frames.properties
confluence-init.properties
crowd.properties(较为重要)
hash-registry.properties
lgplTemplate.soy
log4j-diagnostic.properties
log4j.properties
logging.properties
mime.types
osuser.xml
seraph-config.xml
seraph-paths.xml
velocity_implicit.vm
velocity.properties
修复方法
升级到最新版本即可
Reference