Ejecución remota de código previa a la autenticación en Confluence mediante inyección OGNL (CVE-2022-26134) en Ruby

Confluence es una wiki corporativa basada en web desarrollada por la empresa australiana de software Atlassian.

El 2 de junio de 2022, Atlassian publicó un aviso de seguridad para sus aplicaciones Confluence Server y Data Center, destacando una vulnerabilidad crítica de ejecución remota de código no autenticada. La vulnerabilidad de inyección OGNL permite a un usuario no autenticado ejecutar código arbitrario en una instancia de Confluence Server o Data Center.

Referencias:

• https://confluence.atlassian.com/doc/confluence-security-advisory-2022-06-02-1130377146.html
• https://attackerkb.com/topics/BH1D56ZEhs/cve-2022-26134/rapid7-analysis
• https://github.com/vulhub/vulhub/tree/master/confluence/CVE-2022-26134

Entorno vulnerable

Ejecute el siguiente comando para iniciar un Confluence Server 7.13.6:

docker-compose up -d

Después de que el entorno se inicie, visite http://your-ip:8090 y verá la guía de instalación; seleccione "Trial installation" y luego se le pedirá que complete la clave de licencia. Debe solicitar un certificado de prueba de Confluence Server a Atlassian.

Siga esta guía para completar la instalación.

En la página de configuración de la base de datos, complete el formulario con la dirección de base de datos db, el nombre de la base de datos confluence, el usuario postgres y la contraseña postgres.

Exploit

Nota: El exploit aún está en desarrollo; cualquier sugerencia mediante pull request es bienvenida.

https://user-images.githubusercontent.com/24976957/172490114-2b81b6f1-9c4d-4542-9d8d-e4d7b4a82d9d.mov