最近，Atlassian发布了一个安全更新，以解决Confluence服务器和数据中心中一个严重的硬编码凭据漏洞，跟踪为CVE-2022-26138，未经身份验证的远程攻击者可以利用此漏洞来登录未打补丁的服务器。安装QuestionsforConfluence应用程序（版本2.7.34、2.7.35和3.0.2）后，将创建一个名为“disabledsystemuser”的Confluence用户帐户。根据Atlassian的说法，该帐户允许管理员将数据从应用程序迁移到ConfluenceCloud。该帐户是使用硬编码密码创建的，并添加到confluence-users组，默认情况下允许查看和编辑Confluence中所有不受限制的页面。根据Atlassian的公告，当启用Confluence服务器或数据中心上的Confluence应用程序问题时，它会创建一个用户名为disabledsystemuser的Confluence用户帐户。此帐户旨在帮助管理员将数据从应用程序迁移到ConfluenceCloud。disabledsystemuser帐户使用硬编码密码创建并添加到confluence-users组，默认情况下允许查看和编辑Confluence中所有不受限制的页面。知道硬编码密码的未经身份验证的攻击者可以使用它登录Confluence并访问该组有权访问的任何页面。该公司指出，卸载QuestionsforConfluence应用程序并不能解决该漏洞，因为卸载该应用程序后不会删除已禁用的系统用户帐户。受影响的ConfluenceServer或DataCenter实例的管理员可以通过执行以下操作来修复此漏洞：选项1：更新到Confluence的非漏洞版本选项2：禁用或删除禁用的系统用户帐户幸运的是，Atlassian尚未收到In-the-利用此漏洞进行野蛮攻击。要确定是否有人使用硬编码密码登录到disabledsystemuser帐户，管理员可以获得用户上次登录时间的列表，如果硬编码帐户的上次验证时间为空，则表示该帐户从未用于访问设备.
