CVE-2023-22515-Scan

Über

Dies ist ein einfacher Scanner für CVE-2023-22515, eine kritische Schwachstelle in Atlassian Confluence Data Center und Server, die derzeit aktiv von Bedrohungsakteuren ausgenutzt wird, um „nicht autorisierte Confluence-Administratorkonten zu erstellen und auf Confluence-Instanzen zuzugreifen“. Die Schwachstelle wurde zunächst als „Privilege Escalation“-Problem beschrieben, aber Atlassian änderte die Einstufung später in „Broken Access Control“ in ihrem Security Advisory.

Zeitleiste von CVE-2023-22515

• 4. Oktober 2023: Atlassian veröffentlicht ein Security Advisory zu CVE-2023-22515, das es damals als kritische „Privilege Escalation“-Schwachstelle in Atlassian Confluence Data Center beschrieb. Das Advisory deckt verwundbare Versionen, gepatchte Versionen, Workarounds und IOCs ab.
• 5. Oktober 2023: Die US-amerikanische CISA fügt CVE-2023-22515 zu ihrem Katalog bekannter ausgenutzter Schwachstellen hinzu. Am selben Tag aktualisiert Rapid7 seinen Artikel zu CVE-2023-22515, der ursprünglich am 4. Oktober veröffentlicht wurde, um zu erwähnen, dass der Rapid7-Sicherheitsforscher Stephen Fewer bestätigt hat, dass die Schwachstelle vollständig ohne Authentifizierung und trivial ausnutzbar ist. Das Update erwähnte außerdem, dass Rapid7 den Endpunkt /server-info.action verwendet hat, um das Problem auszulösen, was sich von den im Atlassian-Advisory genannten Endpunkten unterscheidet.
• 6. Oktober 2023: Atlassian ändert die Beschreibung von CVE-2023-22515 in ihrem Security Advisory von „Privilege Escalation“ zu „Broken Access Control“.

Details zum CVE-2023-22515-Scan

Dies ist ein einfacher Scanner, der versucht, den Schwachstellenstatus von Atlassian Confluence zu ermitteln, indem er bis zu zwei HTTP-GET-Anfragen pro Host durchführt und die Antworten analysiert:

• Eine GET-Anfrage an die angegebene URL (die die Basis-URL der Anwendung sein sollte), um zu überprüfen, ob das Ziel Atlassian Confluence ist, und um die Produktversion zu erhalten.
• Eine GET-Anfrage an /server-info.action, um den Statuscode zu prüfen. Patch-Diffing zeigte, dass der Patch für CVE-2023-22515 den /server-info.action-Endpunkt vollständig entfernt. Während der Tests wurde für diesen Endpunkt das folgende Verhalten beobachtet:
  • Nicht betroffene Versionen (vor 8.0.0) antworten mit einem 404-Statuscode
  • Verwundbare Versionen antworten mit einem 200-Statuscode
  • Gepatchte Versionen antworten mit einem 302-Statuscode

Getestete Versionen

Der Scanner wurde erfolgreich gegen die folgenden Versionen von Atlassian Confluence Server getestet:

• 7.4.10 (nicht betroffen)
• 8.4.2 (verwundbar)
• 8.4.3 (gepatcht)
• 8.5.0 (verwundbar)
• 8.6.0 (aktuelles Docker-Image - gepatcht)

Da das Skript gegen eine begrenzte Anzahl von Versionen von Atlassian Confluence Server getestet wurde, ist der Scanner möglicherweise nicht vollständig zuverlässig, insbesondere für Confluence Data Center oder für ungetestete Versionen von Confluence Server.

Installation

• Klone das Repository

git clone https://github.com/ErikWynter/CVE-2023-22515-Scan.git

• Wechsle in das erstellte Verzeichnis

cd CVE-2023-22515-Scan

• Installiere die Abhängigkeiten mit pip. Abhängig von deiner lokalen python3-Umgebung sind die erforderlichen Befehle entweder:

pip install -r requirements.txt

oder:

pip3 install -r requirements.txt

Verwendung

usage: cve_2023_22515_scan.py [-h] [-f FILE] [-t TARGETS] [-o OUTPUT_DIR]

Scan Atlassian Confluence web instances for CVE-2023-22515

options:
  -h, --help     show this help message and exit
  -f FILE        File containing a list of URLs to scan
  -t TARGETS     Comma-separated list of URLs to scan
  -o OUTPUT_DIR  Output directory

z. B.:

python cve_2023_22515_scan.py -f urls.txt -o results

python cve_2023_22515_scan.py -t http://192.168.10.10,http://192.168.10.11 -o results`

Schwachstellenstatus

• likely vulnerable: Das Ziel läuft mit einer verwundbaren Version (oder die Version konnte nicht erkannt werden) und der verwundbare Endpunkt /server-info.action ist verfügbar.
• likely not exploitable: Das Ziel läuft mit einer verwundbaren Version, aber der /server-info.action-Endpunkt ist nicht erreichbar, was bedeutet, dass es wahrscheinlich gepatcht ist.
• not vulnerable: Das Ziel läuft nicht mit einer verwundbaren Version, oder die Version konnte nicht erkannt werden und der Endpunkt /server-info.action war nicht erreichbar.
• unknown: Der Schwachstellenstatus konnte nicht ermittelt werden, da beim Versuch, auf den Endpunkt /server-info.action zuzugreifen, ein Fehler auftrat.

Ausgabedateien

• cve_2023_22515_scan.json - JSON-Datei mit der Produktversion, dem Schwachstellenstatus und anderen relevanten Informationen für alle Systeme, die vom Skript erkannt wurden. Beispielinhalt:

[
  {
    "target_url": "http://192.168.91.202:8091",
    "product": "Atlassian Confluence",
    "version": "8.5.0",
    "vulnerability_status": "likely vulnerable"
  },
  {
    "target_url": "http://192.168.91.200:8090",
    "product": "Atlassian Confluence",
    "version": "8.4.3",
    "vulnerability_status": "not vulnerable"
  }
]

• cve_2023_22515_scan.txt - Textdatei mit einer menschenlesbaren Aufschlüsselung der Ergebnisse. Sie ist identisch mit dem Bericht, der in der Konsole ausgegeben wird (ohne die ANSI-Farben). Beispielinhalt:

http://192.168.91.202:8091 - Product: Atlassian Confluence Version: 8.5.0 - vulnerability status: likely vulnerable
http://192.168.91.200:8090 - Product: Atlassian Confluence Version: 8.4.3 - vulnerability status: not vulnerable

Patchen

Bitte beachte das offizielle Security Advisory für Informationen zu betroffenen Versionen und gepatchten Versionen.

Beispielausgabe