arkha-corvus/letsdefend-soc235-atlassian-confluence-broken-access-control-0-day-cve-2023-22515-eventid-197
I was presented with a high-severity alert indicating a potential exploit attempt of CVE-2023-22515, a zero-day vulnerability in Atlassian Confluence. The alert showed a suspicious GET request from an external IP targeting the Confluence server, suggesting an attempt to gain unauthorised admin access.
Mi è stato presentato un avviso di alta gravità che indicava un potenziale tentativo di sfruttamento di CVE-2023-22515, una vulnerabilità zero-day in Atlassian Confluence. L'avviso mostrava una richiesta GET sospetta da un IP esterno diretta al server Confluence, suggerendo un tentativo di ottenere accesso admin non autorizzato.
La vulnerabilità consente a un attaccante di inviare richieste modificate a una istanza di Confluence che portano alla creazione silenziosa di account amministratore, fornendo un controllo non autorizzato immediato. Lo sfruttamento implica tipicamente una semplice richiesta GET a un endpoint vulnerabile da un IP esterno, che può dare all'attaccante accesso iniziale, la capacità di installare backdoor, muoversi lateralmente o esfiltrare dati. Atlassian classifica questa vulnerabilità come critica a causa della facilità di abuso e del potenziale di compromissione totale del sistema. Le azioni raccomandate includono l'applicazione della patch del fornitore, l'isolamento dei server colpiti, la revisione dei log per richieste GET sospette e nuovi account admin, e la rotazione delle credenziali e delle chiavi utilizzate da Confluence.
Come parte della mia indagine, ho esaminato l'indirizzo IP sorgente 43[.]130[.]1[.]222 utilizzando VirusTotal per valutarne la reputazione. L'analisi ha confermato che questo indirizzo IP è segnalato come dannoso.
Per validare la presenza di un attacco informatico, ho anche analizzato i log utilizzando 43[.]130[.]1[.]222 come indirizzo IP sorgente e ho identificato tre voci di log pertinenti.
Analizzando le voci di log, ho osservato che la richiesta /serverinfo.actionbootstrapStatusProvider.applicationConfig.setupComplete=false ha restituito un codice di stato 200. Questa risposta indica che la richiesta è stata elaborata con successo, suggerendo che l'attacco è stato eseguito con successo.
Sulla base dei risultati della mia indagine, il traffico è stato identificato come dannoso.
Sulla base dell'indagine e delle opzioni disponibili, la classificazione più appropriata per il vettore di attacco è "Altro". Il traffico dannoso osservato non si allinea con nessuna delle categorie predefinite come Command Injection, IDOR, LFI/RFI, SQL Injection o XSS.
Dopo aver esaminato i log di sicurezza email utilizzando sia l'indirizzo IP sorgente che quello di destinazione, non ho trovato prove di alcuna email che indicasse che si trattasse di un test pianificato.
L'indirizzo IP 43.130.1.222 proviene da un'organizzazione esterna e funge da endpoint pubblico, mentre 172.16.17.234 è assegnato a un dispositivo all'interno della rete interna dell'azienda. Ciò indica che la connessione ha avuto origine esternamente da Internet ed è stata diretta verso la rete interna dell'azienda.
Durante la fase iniziale dell'indagine, è diventato evidente che la configurazione del dispositivo permetteva all'attacco di procedere senza bloccare o mitigare alcuna attività dannosa. Inoltre, l'analisi dei log ha rivelato una richiesta che ha restituito un codice di stato 200, confermando che è stata elaborata con successo, indicando ulteriormente che l'attacco è stato eseguito con successo. Per prevenire ulteriori compromissioni, ho preso l'iniziativa di contenere il dispositivo colpito.
Visto che l'attacco è stato eseguito con successo, ho proattivamente escalationato il caso al Livello 2 per un'indagine più approfondita. Gli analisti di Livello 2 possiedono maggiore competenza e accesso a strumenti avanzati, consentendo loro di effettuare un'analisi dettagliata delle minacce, valutare potenziali movimenti laterali e implementare misure di contenimento e remediation appropriate. Questa escalation è essenziale per garantire che l'incidente sia pienamente compreso e mitigato efficacemente, riducendo il rischio di ulteriori compromissioni.
L'indagine è stata portata a termine con successo, con le azioni pertinenti intraprese per mitigare l'impatto e proteggere l'ambiente.
Grazie per aver dedicato del tempo alla lettura di questo. Il tuo feedback è sempre apprezzato!
