arkha-corvus/letsdefend-soc235-atlassian-confluence-broken-access-control-0-day-cve-2023-22515-eventid-197
I was presented with a high-severity alert indicating a potential exploit attempt of CVE-2023-22515, a zero-day vulnerability in Atlassian Confluence. The alert showed a suspicious GET request from an external IP targeting the Confluence server, suggesting an attempt to gain unauthorised admin access.
Mir wurde ein Alarm mit hoher Schwere vorgelegt, der auf einen möglichen Exploit-Versuch von CVE-2023-22515 hinwies, einer Zero-Day-Schwachstelle in Atlassian Confluence. Der Alarm zeigte eine verdächtige GET-Anfrage von einer externen IP an den Confluence-Server, was auf einen Versuch hindeutete, unbefugten Administratorzugriff zu erlangen.
Die Schwachstelle ermöglicht es einem Angreifer, präparierte Anfragen an eine Confluence-Instanz zu senden, die zur stillen Erstellung von Administrator-Konten führen und so sofortige unbefugte Kontrolle ermöglichen. Die Ausnutzung erfolgt typischerweise durch eine einfache GET-Anfrage an einen verwundbaren Endpunkt von einer externen IP, die dem Angreifer ersten Zugriff, die Möglichkeit zur Installation von Hintertüren, seitlicher Bewegung oder Datenextraktion geben kann. Atlassian stuft dies als kritisch ein, aufgrund der einfachen Ausnutzbarkeit und des Potenzials für eine vollständige Systemkompromittierung. Empfohlene Maßnahmen umfassen die Anwendung des Hersteller-Patches, die Isolierung betroffener Server, die Überprüfung von Logs auf verdächtige GET-Anfragen und neue Admin-Konten sowie das Rotieren von Anmeldeinformationen und Schlüsseln, die von Confluence verwendet werden.
Im Rahmen meiner Untersuchung habe ich die Quell-IP-Adresse 43[.]130[.]1[.]222 mit VirusTotal überprüft, um ihren Ruf zu bewerten. Die Analyse bestätigte, dass diese IP-Adresse als bösartig eingestuft wird.
Um das Vorliegen eines Cyberangriffs zu bestätigen, habe ich die Logs ebenfalls mit 43[.]130[.]1[.]222 als Quell-IP-Adresse analysiert und drei relevante Log-Einträge identifiziert.
Bei der Analyse der Log-Einträge stellte ich fest, dass die Anfrage /serverinfo.actionbootstrapStatusProvider.applicationConfig.setupComplete=false einen HTTP-Statuscode 200 zurückgab. Diese Antwort weist darauf hin, dass die Anfrage erfolgreich verarbeitet wurde, was darauf hindeutet, dass der Angriff erfolgreich ausgeführt wurde.
Basierend auf den Ergebnissen meiner Untersuchung wurde der Datenverkehr als bösartig identifiziert.
Basierend auf der Untersuchung und den verfügbaren Optionen ist die am besten geeignete Klassifizierung für den Angriffsvektor „Other“. Der beobachtete bösartige Datenverkehr entspricht keiner der vordefinierten Kategorien wie Command Injection, IDOR, LFI/RFI, SQL Injection oder XSS.
Nach der Überprüfung der E-Mail-Sicherheitsprotokolle sowohl mit den Quell- als auch den Ziel-IP-Adressen fand ich keine Hinweise auf E-Mails, die darauf hindeuteten, dass es sich um einen geplanten Test handelte.
Die IP-Adresse 43.130.1.222 stammt von einer externen Organisation und dient als öffentlich zugänglicher Endpunkt, während 172.16.17.234 einem Gerät im internen Netzwerk des Unternehmens zugewiesen ist. Dies weist darauf hin, dass die Verbindung extern aus dem Internet stammte und auf das interne Netzwerk des Unternehmens gerichtet war.
Während der Anfangsphase der Untersuchung wurde deutlich, dass die Konfiguration des Geräts den Angriff ohne Blockierung oder Abschwächung bösartiger Aktivitäten ermöglichte. Zusätzlich ergab die Log-Analyse eine Anfrage, die einen Statuscode 200 zurückgab und bestätigte, dass sie erfolgreich verarbeitet wurde, was weiter darauf hindeutet, dass der Angriff erfolgreich ausgeführt wurde. Um eine weitere Kompromittierung zu verhindern, ergriff ich die Initiative, das betroffene Gerät zu isolieren.
Da der Angriff erfolgreich ausgeführt wurde, habe ich den Fall proaktiv an Tier 2 für eine gründlichere Untersuchung eskaliert. Tier-2-Analysten verfügen über tiefere Fachkenntnisse und Zugang zu fortschrittlichen Tools, die es ihnen ermöglichen, eine detaillierte Bedrohungsanalyse durchzuführen, potenzielle laterale Bewegung zu bewerten und geeignete Eindämmungs- und Behebungsmaßnahmen umzusetzen. Diese Eskalation ist entscheidend, um sicherzustellen, dass der Vorfall vollständig verstanden und effektiv entschärft wird, wodurch das Risiko einer weiteren Kompromittierung verringert wird.
Die Untersuchung wurde erfolgreich durchgeführt, wobei relevante Maßnahmen ergriffen wurden, um die Auswirkungen zu mildern und die Umgebung zu sichern.
Vielen Dank, dass Sie sich die Zeit genommen haben, dies zu lesen. Ihr Feedback ist jederzeit willkommen!
