Confluence-CVE-2022-26134
Dieses Repository behandelt die Zero-Day-Ausnutzung von Atlassian Confluence aus der Sicht der Verteidigung und Analyse einer SecOps- oder Blue-Team-Perspektive.
Inhaltsverzeichnis
About
Über das Memorial-Day-Wochenende in den USA führte Volexity eine Incident-Response-Untersuchung zu zwei internetzugewandten Webservern eines Kunden durch, auf denen Atlassian Confluence Server-Software lief. Die Untersuchung begann, nachdem verdächtige Aktivitäten auf den Hosts festgestellt wurden, darunter JSP-Webshells, die auf die Festplatte geschrieben wurden. Volexity setzte sofort Volexity Surge Collect Pro ein, um Systemspeicher und wichtige Dateien der Confluence Server-Systeme zur Analyse zu sammeln. Nach einer gründlichen Überprüfung der gesammelten Daten konnte Volexity feststellen, dass die Serverkompromittierung von einem Angreifer ausging, der einen Exploit zur Erlangung der Remote-Codeausführung startete. Volexity konnte diesen Exploit anschließend nachstellen und eine Zero-Day-Schwachstelle identifizieren, die vollständig aktuelle Versionen von Confluence Server betrifft.
Nach der Entdeckung und Verifizierung dieser Schwachstelle kontaktierte Volexity Atlassian am 31. Mai 2022, um die relevanten Details zu melden. Atlassian hat die Schwachstelle inzwischen bestätigt und das Problem als CVE-2022-26134 eingestuft. Es wurde bestätigt, dass sie auf aktuellen Versionen von Confluence Server und Data Center funktioniert.
Timeline
- Eine Ankündigung vom 2. Juni, 13:00 Uhr PT (20:00 UTC), beschreibt nicht die Art des Fehlers und gibt an, dass eine "aktuelle aktive Ausnutzung" festgestellt wurde. Es ist kein Patch verfügbar.
- Volexity entdeckt einen Zero-Day in Confluence am 03.06.2022 (GMT)
- Am 03.06.2022 (GMT) Atlassian
- Klärte die betroffenen Versionen
- Fügte eine WAF-Regel hinzu
- Fügte einen voraussichtlichen Zeitrahmen für verfügbare Korrekturen hinzu
- Am 03.06.2022 haben wir aktive Ausnutzungsversuche und die Veröffentlichung von POCs im gesamten Internet gesehen.
- Am 03. Juni 2022 um 8:00 Uhr PDT (Pacific Time, -7 Stunden) Atlassian-Minderungsinformationen mit Ersatz-Jar- und Klassendateien
- Am 03. Juni 2022 um 10:00 Uhr PDT (Pacific Time, -7 Stunden) Atlassian Aktualisiert mit den behobenen Versionen und entfernte den vorläufigen Rat zum Hinzufügen einer WAF-Regel.
- Am 03. Juni 2022 um 16:00 Uhr PDT (Pacific Time, -7 Stunden) Atlassian Aktualisiert, um die Einschränkung bei rollierenden Upgrades zu klären.
Technische Details finden Sie HIER
Understanding-the-Exploit
- Sie können auf den Volexity-Blog HIER verweisen, um die vollständigen Details des Arbeitsprinzips dieses Exploits und die Analyse zu verstehen.
- Sehen Sie sich dieses VIDEO an, um den Exploit und seine Abhilfe zu verstehen.
List-of-IOCs
- Da es sich um eine Zero-Day-Schwachstelle handelt, die sehr leicht ausgenutzt werden kann, gibt es keine exklusive Liste von IOCs. Aus der Community-Forschung wurde beobachtet, dass Angreifer nach der Ausnutzung versuchten, XMRIG, KINSING, MIRAI usw. einzusetzen.
- Der Exploit-String "scheint" diesen String ${ zu enthalten. Dieses Muster ist nicht URL-kodiert und nicht URL-sicher, daher erscheint es als: $%7B in den Logs.
- Der Volexity-Blog verweist auf die Confluence-Datei: noop.jsp
- Das Vorhandensein einer Webshell mit der Erweiterung .jsp ohne Pfadangaben. Zum Beispiel DIESE
- Einige IP-Adressen-
154.146.34.145
154.16.105.147
156.146.34.46
156.146.34.52
156.146.34.9
156.146.56.136
198.147.22.148
198.147.22.148
221.178.126.244
45.43.19.91
59.163.248.170
64.64.228.239
66.115.182.102
66.115.182.111
67.149.61.16
98.32.230.38
193.106.191.48
- Datei-Hashes für bösartige noop.jsp
f39b321472b8dac2452e4c0bc687cb5aa401ac6687520fdc9fd523a17477886d
f8df4dd46f02dc86d37d46cf4793e036
- Weit verbreitete Ausnutzung von Atlassian Confluence CVE-2022-26134, insbesondere die als funktionsfähig bestätigt wurde, wurde am 4. Juni 2022 beobachtet. Finden Sie die eindeutigen IPs HIER
Detection-Strategy
- Wenn Sie einen internetzugewandten Confluence Server und Data Center haben, die nicht gepatcht sind, ist es ratsam, dies als kompromittiert zu interpretieren.
- Suchen Sie nach NEUEN Dateien im Confluence-Pfad auf der Festplatte, die die Endung .jsp oder eine andere haben.
- Suchen Sie nach verdächtigen Kindprozessen in den Tomcat-Logs
DeviceProcessEvents
| where InitiatingProcessFileName has_any( @"tomcat9.exe")
//| where ProcessCommandLine has_any (@"whoami.exe",@"nslookup.exe")
- Suchen Sie nach dem String
${ in (install directory)/logs/*.log
- Versuchen Sie in den Zugriffslogs
egrep -a -i -f pattern.txt *.log, wobei pattern.txt als ${ gespeichert sein sollte, oder versuchen Sie grep "\${" log file path oder grep "$%7B" log file path
- Es könnte Webanfragen für noop.js geben, also können Sie
findstr -i noop.jsp "logpath" versuchen
- Möglicherweise haben Sie unterschiedliche Installationsverzeichnisse, also versuchen Sie,
$jspname_jsp.java im Verzeichnis confluence_install_dir/work/Standalone/ zu finden. Wenn Sie zum Beispiel eine Shell namens hack.jsp finden, sollten Sie hack_jsp.java sehen. Wenn Sie hack.jsp nicht mehr auf der Festplatte finden, versuchen Sie, in den Weblogs zu pivoten, um nach Zugriff darauf zu suchen. Dies gibt Aufschluss darüber, wann darauf zugegriffen oder es gelöscht wurde.
./admin/findspaceattachments.jsp
./admin/cluster/hashclustername.jsp
./admin/default.jsp
./classpath.jsp
./errors/notfound.jsp
./500page.jsp
./errors.jsp
./noop.jsp
- Suchen Sie also nach neu erstellten Dateien, die oben nicht aufgeführt sind.
- Überprüfen Sie auf Dateien auf der Festplatte, die nicht aufgeführt sind, und in Zugriffslogs mit 200-Antworten. Überprüfen Sie außerdem, ob eine dieser Dateien geändert wurde. Insbesondere noop.jsp ist beliebt und normalerweise etwa 103 Bytes groß.
- Wenn Sie festgestellt haben, dass die Datei noop.jsp alarmiert wurde, nutzen Sie dieses SKRIPT, um festzustellen, ob sie verdächtig ist.
- Sie können dieses SKRIPT verwenden, um einen schnellen Scan Ihrer Logs durchzuführen, um potenzielle Bedrohungsakteure zu erkennen. HINWEIS – Die Liste der IPs sollte vor der Verwendung überprüft werden, auch ist die Liste nicht vollständig.
- Untersuchen Sie mehrere Fälle, um nach
.java-Dateien im Verzeichnis ./confluence/org/apache/jsp/ zu suchen, die dort nicht sein sollten.
- Suchen Sie nach Prozessbaum und Prozessausführung auf jedem Host, bei dem Sie einen Exploit-Versuch identifiziert haben. Suchen Sie nach einem Prozessbaum wie:
java->bash->python->bash
- Ein Bash-Prozess, der von einem Python-Prozess erzeugt wurde, dessen Eltern ein weiterer Bash-Prozess war und dann der Java-Root-Prozessname. Eine solche Ausführung sollte identifiziert werden.
Mitigation-Plans
- Zum Zeitpunkt des ersten Commits dieses Repos hat Atlassian eine gepatchte Version von Confluence Server und Data Center veröffentlicht, HIER
- Wenn Sie Confluence nicht sofort aktualisieren können, können Sie das Problem CVE-2022-26134 als vorübergehende Lösung durch Aktualisieren der folgenden Dateien beheben, wie HIER beschrieben.
- Erstellen Sie als sofortigen Schritt einen Incident-Response-Plan, um Ihre internetzugewandten Instanzen zu identifizieren und die Erkennung durchzuführen. Und setzen Sie den Server unter IP-Whitelisting oder unter VPN, um die Risikooberfläche zu verringern.
References
archanchoudhury/confluence-cve-2022-26134
