sifalcon/confluencepotEinfaches Honeypot für Atlassian Confluence (CVE-2022-26134)
ConfluencePot ist ein einfacher Honeypot für die nicht authentifizierte und Remote-OGNL-Injection-Schwachstelle in Atlassian Confluence (CVE-2022-26134).
Die offizielle Ankündigung von Atlassian zu dieser Schwachstelle findest du hier. Für Details über die Funktionsweise und Exploits in freier Wildbahn solltest du die Berichte von Rapid7 und Cloudflare lesen. Betroffene, aber noch nicht gepatchte Systeme sollten bis zur weiteren Untersuchung als kompromittiert betrachtet werden.
ConfluencePot ist in Golang geschrieben und implementiert einen eigenen HTTPS-Server, um die gesamte Angriffsfläche zu minimieren. Um wie eine legitime Confluence-Instanz zu erscheinen, gibt es eine abgespeckte Version einer Confluence-Startseite zurück. Die Logausgabe erfolgt auf stdout und in eine Logdatei auf der Festplatte. ConfluencePot ERLAUBT Angreifern NICHT, Befehle/Code auf Ihrem Rechner auszuführen, es protokolliert nur Anfragen und gibt eine falsche Antwort zurück.
Sie benötigen eine aktuelle Version von Golang, um confluencePot auszuführen/zu erstellen, sowie die entsprechenden Berechtigungen, um an Port 443 zu binden. Wir empfehlen, es in einer tmux-Sitzung auszuführen, um die Handhabung zu erleichtern. Um ConfluencePot auszuführen, müssen Sie entweder ein selbstsigniertes TLS-Zertifikat mit openssl erstellen oder eines von z.B. Let's Encrypt anfordern.
go build confluencePot.go
./confluencePot
ConfluencePot wurde mit dem öffentlichen Exploit von Nwqda getestet, der zum Zeitpunkt der Erstellung dieses Textes die am häufigsten verwendete Variante in freier Wildbahn zu sein scheint. Wenn Sie etwas an confluencePot auszusetzen haben, können Sie gerne ein Issue eröffnen oder uns einen Pull-Request senden.
Folgen Sie uns auf Twitter --> @SI_FalconTeam <-- um auf dem Laufenden zu bleiben, was unsere neueste Forschung betrifft. Bleiben Sie sicher!