CVE-2023-22515-Scan

حول

هذا ماسح ضوئي بسيط لـ CVE-2023-22515، وهي ثغرة أمنية خطيرة في Atlassian Confluence Data Center و Server يتم استغلالها بنشاط في البرية من قبل الجهات الخبيثة بهدف "إنشاء حسابات مسؤول غير مصرح بها في Confluence والوصول إلى مثيلات Confluence". تم وصف الثغرة في البداية على أنها مشكلة "تصعيد صلاحيات"، لكن Atlassian غيرت التصنيف لاحقًا إلى "التحكم المكسور في الوصول" في نشرة الأمان الخاصة بهم.

الجدول الزمني لـ CVE-2023-22515

• 4 أكتوبر 2023: تنشر Atlassian نشرة أمان حول CVE-2023-22515، والتي وصفها آنذاك بأنها ثغرة "تصعيد صلاحيات" خطيرة في Atlassian Confluence Data Center. تغطي النشرة الإصدارات المعرضة للخطر، والإصدارات المصححة، والحلول البديلة، ومؤشرات الاختراق (IOCs).
• 5 أكتوبر 2023: تضيف وكالة الأمن السيبراني وأمن البنية التحتية الأمريكية (CISA) CVE-2023-22515 إلى كتالوج الثغرات المستغلة المعروفة لديها. في نفس اليوم، تقوم Rapid7 بتحديث مقالها حول CVE-2023-22515، المنشور أصلاً في 4 أكتوبر، لتذكر أن الباحث الأمني في Rapid7 Stephen Fewer أكد أن الثغرة غير موثقة بالكامل ويمكن استغلالها بسهولة. كما ذكر التحديث أن Rapid7 استخدمت نقطة النهاية /server-info.action لإثارة المشكلة، والتي تختلف عن نقاط النهاية المذكورة في نشرة Atlassian.
• 6 أكتوبر 2023: تقوم Atlassian بتعديل وصف CVE-2023-22515 في نشرة الأمان الخاصة بها من "تصعيد صلاحيات" إلى "التحكم المكسور في الوصول".

تفاصيل CVE-2023-22515-Scan

هذا ماسح ضوئي بسيط سيحاول تحديد حالة الثغرة الأمنية في Atlassian Confluence عن طريق إجراء ما يصل إلى طلبين HTTP GET لكل مضيف وتحليل الاستجابات:

• طلب GET إلى عنوان URL المقدم (والذي يجب أن يكون عنوان URL الأساسي للتطبيق) للتحقق من أن الهدف هو Atlassian Confluence والحصول على إصدار المنتج.
• طلب GET إلى /server-info.action للتحقق من رمز الاستجابة. أظهرت مقارنة التصحيحات أن التصحيح لـ CVE-2023-22515 يزيل نقطة النهاية /server-info.action بالكامل. أثناء الاختبار، لوحظ السلوك التالي لنقطة النهاية هذه:
  • الإصدارات غير المتأثرة (قبل 8.0.0)، تستجيب برمز حالة 404
  • الإصدارات المعرضة للخطر تستجيب برمز حالة 200
  • الإصدارات المصححة تستجيب برمز حالة 302

الإصدارات المختبرة

تم اختبار الماسح الضوئي بنجاح ضد الإصدارات التالية من Atlassian Confluence Server:

• 7.4.10 (غير متأثر)
• 8.4.2 (معرض للخطر)
• 8.4.3 (مصحح)
• 8.5.0 (معرض للخطر)
• 8.6.0 (أحدث صورة Docker - مصحح)

نظرًا لأنه تم اختبار البرنامج النصي ضد عدد محدود من إصدارات Atlassian Confluence Server، قد لا يكون الماسح الضوئي موثوقًا به تمامًا، خاصةً لـ Confluence Data Center أو للإصدارات غير المختبرة من Confluence Server.

التثبيت

• استنساخ المستودع

git clone https://github.com/ErikWynter/CVE-2023-22515-Scan.git

• أدخل الدليل الذي تم إنشاؤه

cd CVE-2023-22515-Scan

• قم بتثبيت التبعيات باستخدام pip. اعتمادًا على إعداد python3 المحلي لديك، ستكون الأوامر المطلوبة إما:

pip install -r requirements.txt

أو:

pip3 install -r requirements.txt

الاستخدام

usage: cve_2023_22515_scan.py [-h] [-f FILE] [-t TARGETS] [-o OUTPUT_DIR]

فحص مثيلات Atlassian Confluence على الويب لـ CVE-2023-22515

خيارات:
  -h, --help     إظهار رسالة المساعدة هذه والخروج
  -f FILE        ملف يحتوي على قائمة عناوين URL للمسح الضوئي
  -t TARGETS     قائمة عناوين URL مفصولة بفواصل للمسح الضوئي
  -o OUTPUT_DIR  دليل الإخراج

مثال:

python cve_2023_22515_scan.py -f urls.txt -o results

python cve_2023_22515_scan.py -t http://192.168.10.10,http://192.168.10.11 -o results`

حالات الثغرة

• likely vulnerable: الهدف يعمل بإصدار معرض للخطر (أو لم يتم اكتشاف الإصدار) ولديه نقطة النهاية المعرضة /server-info.action متاحة.
• likely not exploitable: الهدف يعمل بإصدار معرض للخطر، ولكن نقطة النهاية /server-info.action غير قابلة للوصول، مما يعني أنه على الأرجح مصحح.
• not vulnerable: الهدف لا يعمل بإصدار معرض للخطر، أو لم يتم اكتشاف الإصدار ولم تكن نقطة النهاية /server-info.action قابلة للوصول.
• unknown: لم يمكن تحديد حالة الثغرة بسبب مواجهة خطأ أثناء محاولة الوصول إلى نقطة النهاية /server-info.action.

ملفات الإخراج

• cve_2023_22515_scan.json - ملف JSON يحتوي على إصدار المنتج وحالة الثغرة وغيرها من المعلومات ذات الصلة لأي أنظمة تم التعرف عليها بواسطة البرنامج النصي. مثال المحتويات:

[
  {
    "target_url": "http://192.168.91.202:8091",
    "product": "Atlassian Confluence",
    "version": "8.5.0",
    "vulnerability_status": "likely vulnerable"
  },
  {
    "target_url": "http://192.168.91.200:8090",
    "product": "Atlassian Confluence",
    "version": "8.4.3",
    "vulnerability_status": "not vulnerable"
  }
]

• cve_2023_22515_scan.txt - ملف نصي يحتوي على تحليل مقروء للنتائج. وهو مطابق للتقرير المطبوع على وحدة التحكم (بدون ألوان ANSI). مثال المحتويات:

http://192.168.91.202:8091 - Product: Atlassian Confluence Version: 8.5.0 - vulnerability status: likely vulnerable
http://192.168.91.200:8090 - Product: Atlassian Confluence Version: 8.4.3 - vulnerability status: not vulnerable

التصحيح

يرجى الرجوع إلى نشرة الأمان الرسمية للحصول على معلومات حول الإصدارات المتأثرة والإصدارات المصححة.

مثال على الإخراج