CVE-2023-22515-Scan

حول

هذا ماسح بسيط لـ CVE-2023-22515، وهي ثغرة أمنية خطيرة في Atlassian Confluence Data Center و Server التي تُستغل بنشاط في البرية من قبل جهات تهديد بهدف "إنشاء حسابات مسؤول Confluence غير مصرح بها والوصول إلى مثيلات Confluence". تم وصف الثغرة في البداية كمشكلة "تصعيد صلاحيات"، لكن Atlassian غيرت التصنيف لاحقًا إلى "التحكم المعطل في الوصول" في نشرة الأمان الخاصة بهم.

الجدول الزمني لـ CVE-2023-22515

• 4 أكتوبر 2023: تنشر Atlassian نشرة أمان حول CVE-2023-22515، والتي وصفتها بعد ذلك بأنها ثغرة حرجة من نوع "تصعيد صلاحيات" في Atlassian Confluence Data Center. تغطي النشرة الإصدارات المتأثرة، والإصدارات المصححة، والحلول البديلة، ومؤشرات الاختراق (IOCs).
• 5 أكتوبر 2023: US CISA تضيف CVE-2023-22515 إلى كتالوج الثغرات المستغلة المعروفة لديها. في نفس اليوم، تقوم Rapid7 بتحديث مقالها حول CVE-2023-22515، الذي نُشر في الأصل في 4 أكتوبر، للإشارة إلى أن باحث الأمان في Rapid7 Stephen Fewer أكد أن الثغرة غير مصادق عليها بالكامل ويسهل استغلالها. ذكر التحديث أيضًا أن Rapid7 استفادت من نقطة النهاية /server-info.action لتفعيل المشكلة، وهي مختلفة عن نقاط النهاية المذكورة في نشرة Atlassian.
• 6 أكتوبر 2023: تعدل Atlassian وصف CVE-2023-22515 في نشرة الأمان الخاصة بها من "تصعيد صلاحيات" إلى "التحكم المعطل في الوصول".

تفاصيل CVE-2023-22515-Scan

هذا ماسح بسيط سيحاول تحديد حالة الثغرة في Atlassian Confluence عن طريق إجراء ما يصل إلى طلبين HTTP GET لكل مضيف وتحليل الاستجابات:

• طلب GET إلى عنوان URL المقدم (يجب أن يكون عنوان URL الأساسي للتطبيق) للتحقق من أن الهدف هو Atlassian Confluence والحصول على إصدار المنتج.
• طلب GET إلى /server-info.action للتحقق من رمز الاستجابة. أظهرت مقارنة التصحيح أن التصحيح لـ CVE-2023-22515 يزيل نقطة النهاية /server-info.action بالكامل. أثناء الاختبار، لوحظ السلوك التالي لهذه النقطة الطرفية:
  • الإصدارات غير المتأثرة (قبل 8.0.0) تستجيب برمز حالة 404
  • الإصدارات المتأثرة تستجيب برمز حالة 200
  • الإصدارات المصححة تستجيب برمز حالة 302

الإصدارات المختبرة

تم اختبار الماسح بنجاح ضد الإصدارات التالية من Atlassian Confluence Server:

• 7.4.10 (غير متأثر)
• 8.4.2 (متأثر)
• 8.4.3 (مصحح)
• 8.5.0 (متأثر)
• 8.6.0 (أحدث صورة Docker - مصححة)

نظرًا لأنه تم اختبار السكريبت على عدد محدود من إصدارات Atlassian Confluence Server، قد لا يكون الماسح موثوقًا به تمامًا، خاصةً لـ Confluence Data Center أو للإصدارات غير المختبرة من Confluence Server.

التثبيت

• استنساخ المستودع

git clone https://github.com/ErikWynter/CVE-2023-22515-Scan.git

• الدخول إلى المجلد الذي تم إنشاؤه

cd CVE-2023-22515-Scan

• تثبيت التبعيات باستخدام pip. اعتمادًا على إعداد python3 المحلي لديك، ستكون الأوامر المطلوبة إما:

pip install -r requirements.txt

أو:

pip3 install -r requirements.txt

الاستخدام

usage: cve_2023_22515_scan.py [-h] [-f FILE] [-t TARGETS] [-o OUTPUT_DIR]

Scan Atlassian Confluence web instances for CVE-2023-22515

options:
  -h, --help     show this help message and exit
  -f FILE        File containing a list of URLs to scan
  -t TARGETS     Comma-separated list of URLs to scan
  -o OUTPUT_DIR  Output directory

مثال:

python cve_2023_22515_scan.py -f urls.txt -o results

python cve_2023_22515_scan.py -t http://192.168.10.10,http://192.168.10.11 -o results

حالات الثغرة

• likely vulnerable: الهدف يعمل بإصدار متأثر (أو لم يتم اكتشاف الإصدار) وتتوفر نقطة النهاية /server-info.action المتأثرة.
• likely not exploitable: الهدف يعمل بإصدار متأثر، ولكن نقطة النهاية /server-info.action غير قابلة للوصول، مما يعني أنه من المحتمل أنه قد تم تصحيحه.
• not vulnerable: الهدف لا يعمل بإصدار متأثر، أو لم يتم اكتشاف الإصدار وكانت نقطة النهاية /server-info.action غير قابلة للوصول.
• unknown: لم يتم تحديد حالة الثغرة بسبب خطأ أثناء محاولة الوصول إلى نقطة النهاية /server-info.action.

ملفات الإخراج

• cve_2023_22515_scan.json - ملف JSON مع إصدار المنتج وحالة الثغرة وغيرها من المعلومات ذات الصلة لأي أنظمة تم التعرف عليها بواسطة السكريبت. مثال المحتويات:

[
  {
    "target_url": "http://192.168.91.202:8091",
    "product": "Atlassian Confluence",
    "version": "8.5.0",
    "vulnerability_status": "likely vulnerable"
  },
  {
    "target_url": "http://192.168.91.200:8090",
    "product": "Atlassian Confluence",
    "version": "8.4.3",
    "vulnerability_status": "not vulnerable"
  }
]

• cve_2023_22515_scan.txt - ملف نصي مع تفصيل النتائج قابل للقراءة البشرية. هذا مطابق للتقرير المطبوع على وحدة التحكم (بدون ألوان ANSI). مثال المحتويات:

http://192.168.91.202:8091 - Product: Atlassian Confluence Version: 8.5.0 - vulnerability status: likely vulnerable
http://192.168.91.200:8090 - Product: Atlassian Confluence Version: 8.4.3 - vulnerability status: not vulnerable

التصحيح

يرجى الرجوع إلى نشرة الأمان الرسمية للحصول على معلومات حول الإصدارات المتأثرة والإصدارات المصححة.

مثال على الإخراج