Atlassian的Confluence网络服务器和大数据中心产品中使用的widgetconnecter部件（版本号＆lt;=3.1.3）中存在服务端模版引入（SSTI）系统漏洞。网络攻击可以利用此系统漏洞对目标系统，网络服务器恳求仿冒（SSRF）和远程代码执行（RCE）执行相对路径遍历进攻。

Netstar CRS/ARS产品完全支持此系统漏洞的检测和认证。 Netto用户可以直接登陆WWW.riskivy.Com 进行认证。

一，影响范围 产品 Confluence网络服务器 汇流大数据中心 版 所有1.xX，2.xX，3.xX，4.xX和5.xX版本号 所有6.0.x，6.1.x，6.2.x，6.3.x，6.4.x和6.5.x版本号 6.6.12之前的所有6.6.x版本号

所有6.7.x，6.8.x，6.9.x，6.10.x和6.11.x版本号 6.12.3之前的所有6.12.x版本号 6.13.3之前的所有6.13.x版本号 6.14.2之前的所有6.14.x版本号 零部件 Widgetconnector＆LT=3.1.3 二，修补版 版本号6.6.12及更高版本号6.6.x. 版本号6.12.2.3及更高版本号6.12.x 版本号6.13及更高版本号6.13.x. 版本号6.14.2及更高版本号 三，系统漏洞 网络攻击可以通过搭建故意.com恳求主要参数来执行目标（系统遍历，随意文件载入和远程命令执行）进攻。该类进攻可能造成目标系统中的比较敏感数据泄露以及网络攻击搭建的恶意代码的执行。

第四，系统漏洞再次出现 使用_template主要参数覆盖Velocity展现模版，并使用文件:协议载入随意文件（不再仅限于类相对路径） 

此方法允许实现当地文件包括以执行远程编码。

这里有一个SSRF蛋，官方并未修补，请联系Dou技术安全保障团队了解详细信息。

五，修补计划方案 1.升级Confluence版本号 2.主动将widgetconnector-3.1.3.jar升级到widgetconnector-3.1.4.jar

六，参照 htpp://confluence.atlassian.Com/doc/confluence-security-advisory-2019-03-20-966660264.html语言 以上是有关此高危系统漏洞警示的信息。如果您有任何疑惑或需要更多支持，可以通过以下方式与我们联系。