CVE-2023-22515

Hauptinformationen zu CVE-2023-22515

• Betroffene Produkte: Atlassian Confluence Data Center & Confluence Server.
• Veröffentlichungsdatum: 04.10.2023.
• Schweregrad: Critical (CVSS ~ 10.0).
• Schwachstellentyp: Broken Access Control / Improper Authorization → erlaubt Angreifern, aus der Ferne ein Admin-Konto zu erstellen.
• Der Fehler liegt im Confluence-Setup-Mechanismus.
• Betroffene Versionen: Confluence Data Center & Server 8.0.0 – 8.5.1.

Exploit-Durchführung

• Zunächst gibt es bei der Installation von Confluence einen Konfigurationsschritt für den Serverbetrieb, z. B. Datenbankverbindung, Benutzererstellung, … Diese Vorgänge werden über den Webbrowser und die URL-Pfade /setup/ durchgeführt. Der letzte Schritt der Konfiguration ist /setup/setupadministrator.action.
• Nach Abschluss werden diese Einstellungen nicht mehr aufgerufen. Wenn wir versuchen, sie aufzurufen, wird eine Fehlermeldung angezeigt.

• Dies rührt von einem der Interceptoren her, nämlich dem SetupCheckInterceptor der struts.xml.

  • struts.xml ist die zentrale Konfigurationsdatei für Struts.
  • Sie definiert, wie Confluence URL → Action-Klasse → View-Template mapped.
  • Gleichzeitig werden die Interceptor deklariert (Klassen, die Requests vor/nach der Ausführung einer Action abfangen).

Im SetupCheckInterceptor wird BootstrapUtils.getBootstrapManager().isSetupComplete() aufgerufen:

public String intercept(ActionInvocation actionInvocation) throws Exception {
    if (BootstrapUtils.getBootstrapManager().isSetupComplete() && ContainerManager.isContainerSetup())
        return "alreadysetup"; 
    return actionInvocation.invoke();
}

Erklärung

• BootstrapUtils.getBootstrapManager().isSetupComplete()
  → Überprüft, ob Confluence den Setup-Vorgang (via Wizard, Lizenz eingeben, Admin-Benutzer erstellen) abgeschlossen hat.

• ContainerManager.isContainerSetup()
  → Überprüft, ob der Spring IoC-Container vollständig initialisiert wurde.

• Wenn beide Bedingungen zutreffen:
  → Das System ist vollständig eingerichtet → Interceptor gibt sofort "alreadysetup" zurück.
  → Die Action (üblicherweise Setup-Actions wie SetupDatabaseAction, SetupLicenseAction, …) wird nicht ausgeführt.

• Wenn noch nicht vollständig eingerichtet:
  → actionInvocation.invoke() wird aufgerufen → die vom Benutzer angeforderte Action wird ausgeführt.

getBootstrapManager() → gibt in der Regel DefaultAtlassianBootstrapManager zurück, der die gesamten Kernkonfigurationsinformationen während des Setups verwaltet.

• In DefaultAtlassianBootstrapManager.isSetupComplete können wir sehen, dass die Methode der Anwendungskonfiguration isSetupComplete aufgerufen wird, um zu prüfen, ob der Setup-Vorgang abgeschlossen ist.

=> Wenn wir isSetupComplete = false setzen, gibt SetupCheckInterceptor nicht “alreadysetup” zurück und /setup/setupadministrator.action wird zugänglich.

Unten finden wir eine ServerInfoAction:

• ServerInfoAction = Öffentliche Action in Confluence → erlaubt jedem Benutzer den Aufruf ohne Login, ohne CSRF-Token. Bei Ausführung gibt sie einfach "success" zurück → mapped auf ein Template, das Serverinformationen anzeigt.

• Sie erbt von ConfluenceActionSupport.

• In ConfluenceActionSupport sehen wir, dass getBootstrapStatusProvider eine BootstrapStatusProviderImpl-Instanz zurückgibt, nach der wir suchen.

• In BootstrapStatusProviderImpl gibt es getApplicationConfig, das die Anwendungskonfiguration zurückgibt.

• Schließlich sieht man im Inneren von ApplicationConfig, dass es die Methode setSetupComplete implementiert.

• Durch Kombination der obigen Teile können wir eine Methodenkette ableiten, um setSetupComplete auf false zu setzen.

getBootstrapStatusProvider(). getApplicationConfig (). setSetupComplete ( false );

• XWorks2 erlaubt uns, eine solche Getter/Setter-Kette auszuführen. Wir können einen HTTP-Parameter konstruieren, um die obige Methodenaufrufkette zu implementieren, indem wir die von XWorks2 geforderte Notation verwenden.

bootstrapStatusProvider.applicationConfig.setupComplete=false

• Wir nutzen /server-info.action als eine URL in Confluence, die von ServerInfoAction verarbeitet wird, da es sich um einen öffentlichen Endpunkt ohne Anmeldung handelt.

/server-info.action?bootstrapStatusProvider.applicationConfig.setupComplete=false

Debug-Prüfung:

• setupComplete (Parameter, der an die Methode übergeben wird)
  → false
  Das bedeutet, die Methode wird mit dem Parameter false aufgerufen.

• this.setupComplete (Instanzvariable des ApplicationConfig-Objekts)
  → true (vor der Zuweisung).

• Nach Ausführung des Befehls → wird this.setupComplete zu false.

• Nach Abschluss des obigen Schritts versuchen wir erneut, den Endpunkt /setup/setupadministrator.action aufzurufen – erfolgreich.

• Nach der Erstellung melden wir uns an und überprüfen die Berechtigungen.