Pre-Auth Remote Code Execution in Confluence via OGNL Injection (CVE-2022-26134) in Ruby

Confluence ist ein webbasiertes Corporate-Wiki, das vom australischen Softwareunternehmen Atlassian entwickelt wurde.

Am 02. Juni 2022 veröffentlichte Atlassian ein Sicherheitsbulletin für seine Confluence Server- und Data Center-Anwendungen, das eine kritische Schwachstelle für nicht authentifizierte Remote-Codeausführung hervorhebt. Die OGNL-Injection-Schwachstelle ermöglicht es einem nicht authentifizierten Benutzer, beliebigen Code auf einer Confluence Server- oder Data Center-Instanz auszuführen.

Referenzen:

• https://confluence.atlassian.com/doc/confluence-security-advisory-2022-06-02-1130377146.html
• https://attackerkb.com/topics/BH1D56ZEhs/cve-2022-26134/rapid7-analysis
• https://github.com/vulhub/vulhub/tree/master/confluence/CVE-2022-26134

Verwundbare Umgebung

Führen Sie den folgenden Befehl aus, um einen Confluence Server 7.13.6 zu starten:

docker-compose up -d

Nachdem die Umgebung gestartet ist, besuchen Sie http://your-ip:8090 und Sie sehen den Installationsassistenten. Wählen Sie „Testinstallation“ aus. Anschließend werden Sie aufgefordert, den Lizenzschlüssel einzugeben. Sie sollten ein Confluence-Server-Testzertifikat von Atlassian beantragen.

Befolgen Sie diese Anleitung, um die Installation abzuschließen.

Füllen Sie auf der Datenbankkonfigurationsseite das Formular mit der Datenbankadresse db, dem Datenbanknamen confluence, dem Benutzernamen postgres und dem Passwort postgres aus.

Exploit

Hinweis: Der Exploit befindet sich noch in der Entwicklung. Alle Pull-Requests und Ideen sind willkommen.

https://user-images.githubusercontent.com/24976957/172490114-2b81b6f1-9c4d-4542-9d8d-e4d7b4a82d9d.mov