Exploit für CVE-2022-26134: Confluence Pre-Auth Remote Code Execution via OGNL Injection

Ein weiterer Exploit im OGNL-Land

Beschreibung

Confluence ist ein webbasiertes Unternehmenswiki, das von der australischen Softwarefirma Atlassian entwickelt wurde.

Am 2. Juni 2022 veröffentlichte Atlassian eine Sicherheitswarnung für ihre Confluence Server- und Data Center-Anwendungen, die auf eine kritische Schwachstelle für nicht authentifizierte Remote-Codeausführung hinweist. Die OGNL-Injection-Schwachstelle ermöglicht es einem nicht authentifizierten Benutzer, beliebigen Code auf einer Confluence Server- oder Data Center-Instanz auszuführen.

Einrichtung

Zum Einrichten Ihrer Laborumgebung führen Sie start_conflunce.sh aus und befolgen Sie die Anweisungen hier.

Verwendung

$ ./confluence-exploit.py                          
usage: confluence-exploit.py [-h] -u URL
confluence-exploit.py: error: the following arguments are required: -u/--url 

$  ./confluence-exploit.py -u http://127.0.0.1:8090
🔗 URL: http://127.0.0.1:8090
👉 (id): whoami
confluence

Referenzen

• https://www.rapid7.com/ja/blog/post/2022/06/02/active-exploitation-of-confluence-cve-2022-26134/
• Infosec Twitter