CVE-2023-22515-Scan

परिचय

यह CVE-2023-22515 के लिए एक सरल स्कैनर है, जो Atlassian Confluence Data Center और Server में एक गंभीर कमजोरी है, जिसका शोषण वर्तमान में खतरा अभिनेताओं द्वारा 'अनधिकृत Confluence व्यवस्थापक खाते बनाने और Confluence इंस्टेंस तक पहुँचने' के लिए किया जा रहा है। इस कमजोरी को शुरू में 'विशेषाधिकार वृद्धि' की समस्या के रूप में वर्णित किया गया था, लेकिन Atlassian ने बाद में अपने सुरक्षा सलाहकार में वर्गीकरण को 'टूटी हुई पहुँच नियंत्रण' में बदल दिया।

CVE-2023-22515 की समयरेखा

• 4 अक्टूबर 2023: Atlassian ने CVE-2023-22515 पर एक सुरक्षा सलाहकार प्रकाशित किया, जिसे तब Atlassian Confluence Data Center में एक गंभीर 'विशेषाधिकार वृद्धि' कमजोरी के रूप में वर्णित किया गया था। सलाहकार में प्रभावित संस्करण, पैच किए गए संस्करण, कार्य-समाधान और IOCs शामिल हैं।
• 5 अक्टूबर 2023: US CISA ने अपने ज्ञात शोषित कमजोरियों सूची में CVE-2023-22515 जोड़ा। उसी दिन, Rapid7 ने CVE-2023-22515 पर अपने लेख को अद्यतन किया, जो मूल रूप से 4 अक्टूबर को प्रकाशित हुआ था, इसमें उल्लेख किया गया कि Rapid7 सुरक्षा शोधकर्ता Stephen Fewer ने इस कमजोरी को पूरी तरह से अप्रमाणित और मामूली रूप से शोषण योग्य पुष्टि की है। अद्यतन में यह भी उल्लेख किया गया कि Rapid7 ने समस्या को ट्रिगर करने के लिए /server-info.action एंडपॉइंट का उपयोग किया, जो Atlassian सलाहकार में उल्लिखित एंडपॉइंट से अलग है।
• 6 अक्टूबर 2023: Atlassian ने अपने सुरक्षा सलाहकार में CVE-2023-22515 के विवरण को 'विशेषाधिकार वृद्धि' से 'टूटी हुई पहुँच नियंत्रण' में संपादित किया।

CVE-2023-22515-Scan विवरण

यह एक सरल स्कैनर है जो प्रति होस्ट अधिकतम दो HTTP GET अनुरोध करके और प्रतिक्रियाओं का विश्लेषण करके Atlassian Confluence की कमजोरी की स्थिति निर्धारित करने का प्रयास करेगा:

• प्रदान किए गए URL (जो ऐप का आधार URL होना चाहिए) पर एक GET अनुरोध यह सत्यापित करने के लिए कि लक्ष्य Atlassian Confluence है और उत्पाद संस्करण प्राप्त करने के लिए।
• /server-info.action पर एक GET अनुरोध प्रतिक्रिया कोड की जाँच करने के लिए। पैच डिफिंग से पता चला कि CVE-2023-22515 के पैच ने /server-info.action एंडपॉइंट को पूरी तरह से हटा दिया है। परीक्षण के दौरान, इस एंडपॉइंट के लिए निम्नलिखित व्यवहार देखा गया:
  • अप्रभावित संस्करण (8.0.0 से पहले) 404 स्थिति कोड के साथ प्रतिक्रिया करते हैं
  • असुरक्षित संस्करण 200 स्थिति कोड के साथ प्रतिक्रिया करते हैं
  • पैच किए गए संस्करण 302 स्थिति कोड के साथ प्रतिक्रिया करते हैं

परीक्षण किए गए संस्करण

स्कैनर का Atlassian Confluence Server के निम्नलिखित संस्करणों के विरुद्ध सफलतापूर्वक परीक्षण किया गया है:

• 7.4.10 (प्रभावित नहीं)
• 8.4.2 (असुरक्षित)
• 8.4.3 (पैच किया गया)
• 8.5.0 (असुरक्षित)
• 8.6.0 (नवीनतम डॉकर इमेज - पैच किया गया)

चूँकि स्क्रिप्ट का Atlassian Confluence Server के सीमित संस्करणों के विरुद्ध परीक्षण किया गया है, स्कैनर पूरी तरह से विश्वसनीय नहीं हो सकता है, विशेषकर Confluence Data Center या Confluence Server के अप्रयुक्त संस्करणों के लिए।

स्थापना

• रिपॉजिटरी क्लोन करें

git clone https://github.com/ErikWynter/CVE-2023-22515-Scan.git

• बनाई गई निर्देशिका में प्रवेश करें

cd CVE-2023-22515-Scan

• pip के साथ निर्भरताएँ स्थापित करें। आपकी स्थानीय python3 सेटअप के आधार पर, आवश्यक कमांड या तो होगी:

pip install -r requirements.txt

या:

pip3 install -r requirements.txt

उपयोग

usage: cve_2023_22515_scan.py [-h] [-f FILE] [-t TARGETS] [-o OUTPUT_DIR]

Scan Atlassian Confluence web instances for CVE-2023-22515

options:
  -h, --help     show this help message and exit
  -f FILE        File containing a list of URLs to scan
  -t TARGETS     Comma-separated list of URLs to scan
  -o OUTPUT_DIR  Output directory

उदाहरण:

python cve_2023_22515_scan.py -f urls.txt -o results

python cve_2023_22515_scan.py -t http://192.168.10.10,http://192.168.10.11 -o results`

कमजोरी की स्थितियाँ

• likely vulnerable: लक्ष्य एक असुरक्षित संस्करण (या संस्करण का पता नहीं लगाया जा सका) चला रहा है और असुरक्षित /server-info.action एंडपॉइंट उपलब्ध है।
• likely not exploitable: लक्ष्य एक असुरक्षित संस्करण चला रहा है, लेकिन /server-info.action एंडपॉइंट सुलभ नहीं है, जिसका अर्थ है कि यह संभवतः पैच किया गया है।
• not vulnerable: लक्ष्य एक असुरक्षित संस्करण नहीं चला रहा है, या संस्करण का पता नहीं लगाया जा सका और /server-info.action एंडपॉइंट सुलभ नहीं था।
• unknown: कमजोरी की स्थिति निर्धारित नहीं की जा सकी क्योंकि /server-info.action एंडपॉइंट तक पहुँचने का प्रयास करते समय एक त्रुटि का सामना करना पड़ा।

आउटपुट फ़ाइलें

• cve_2023_22515_scan.json - JSON फ़ाइल जिसमें उन किसी भी सिस्टम के लिए उत्पाद संस्करण, कमजोरी की स्थिति और अन्य प्रासंगिक जानकारी शामिल है जिन्हें स्क्रिप्ट द्वारा पहचाना गया था। उदाहरण सामग्री:

[
  {
    "target_url": "http://192.168.91.202:8091",
    "product": "Atlassian Confluence",
    "version": "8.5.0",
    "vulnerability_status": "likely vulnerable"
  },
  {
    "target_url": "http://192.168.91.200:8090",
    "product": "Atlassian Confluence",
    "version": "8.4.3",
    "vulnerability_status": "not vulnerable"
  }
]

• cve_2023_22515_scan.txt - टेक्स्ट फ़ाइल जिसमें परिणामों का मानव-पठनीय विवरण है। यह कंसोल पर मुद्रित रिपोर्ट (ANSI रंगों को छोड़कर) के समान है। उदाहरण सामग्री:

http://192.168.91.202:8091 - Product: Atlassian Confluence Version: 8.5.0 - vulnerability status: likely vulnerable
http://192.168.91.200:8090 - Product: Atlassian Confluence Version: 8.4.3 - vulnerability status: not vulnerable

पैचिंग

कृपया प्रभावित संस्करणों और पैच किए गए संस्करणों की जानकारी के लिए आधिकारिक सुरक्षा सलाहकार देखें।

उदाहरण आउटपुट