CVE-2023-22515-Scan

Informazioni

Questo è un semplice scanner per CVE-2023-22515, una vulnerabilità critica in Atlassian Confluence Data Center e Server che viene attivamente sfruttata da attori malevoli per "creare account amministrativi non autorizzati in Confluence e accedere alle istanze Confluence". La vulnerabilità è stata inizialmente descritta come un problema di "privilege escalation", ma Atlassian ha successivamente modificato la classificazione in "broken access control" nel loro avviso di sicurezza.

Cronologia di CVE-2023-22515

• 4 ottobre 2023: Atlassian pubblica un avviso di sicurezza su CVE-2023-22515, descritto come una vulnerabilità critica di "privilege escalation" in Atlassian Confluence Data Center. L'avviso copre versioni vulnerabili, versioni corrette, soluzioni alternative e IOCs.
• 5 ottobre 2023: La CISA statunitense aggiunge CVE-2023-22515 al proprio Catalogo delle vulnerabilità note sfruttate. Lo stesso giorno, Rapid7 aggiorna il proprio articolo su CVE-2023-22515, pubblicato originariamente il 4 ottobre, per menzionare che il ricercatore di sicurezza di Rapid7 Stephen Fewer ha confermato che la vulnerabilità è completamente non autenticata e banalmente sfruttabile. L'aggiornamento ha anche menzionato che Rapid7 ha sfruttato l'endpoint /server-info.action per attivare il problema, diverso dagli endpoint menzionati nell'avviso di Atlassian.
• 6 ottobre 2023: Atlassian modifica la descrizione di CVE-2023-22515 nel proprio avviso di sicurezza da "privilege escalation" a "broken access control".

Dettagli di CVE-2023-22515-Scan

Questo è un semplice scanner che tenterà di determinare lo stato di vulnerabilità di Atlassian Confluence effettuando fino a due richieste HTTP GET per host e analizzando le risposte:

• Una richiesta GET all'URL fornito (che dovrebbe essere l'URL base dell'app) per verificare che il target sia Atlassian Confluence e ottenere la versione del prodotto.
• Una richiesta GET verso /server-info.action per controllare il codice di risposta. Il diff delle patch ha mostrato che la correzione per CVE-2023-22515 rimuove completamente l'endpoint /server-info.action. Durante i test, è stato osservato il seguente comportamento per questo endpoint:
  • Le versioni non interessate (precedenti alla 8.0.0) rispondono con un codice di stato 404
  • Le versioni vulnerabili rispondono con un codice di stato 200
  • Le versioni corrette rispondono con un codice di stato 302

Versioni testate

Lo scanner è stato testato con successo contro le seguenti versioni di Atlassian Confluence Server:

• 7.4.10 (non interessata)
• 8.4.2 (vulnerabile)
• 8.4.3 (corretta)
• 8.5.0 (vulnerabile)
• 8.6.0 (ultima immagine docker - corretta)

Poiché lo script è stato testato su un numero limitato di versioni di Atlassian Confluence Server, lo scanner potrebbe non essere completamente affidabile, specialmente per Confluence Data Center o per versioni non testate di Confluence Server.

Installazione

• Clona il repository

git clone https://github.com/ErikWynter/CVE-2023-22515-Scan.git

• Entra nella directory creata

cd CVE-2023-22515-Scan

• Installa le dipendenze con pip. A seconda della configurazione locale di python3, i comandi necessari saranno:

pip install -r requirements.txt

oppure:

pip3 install -r requirements.txt

Utilizzo

usage: cve_2023_22515_scan.py [-h] [-f FILE] [-t TARGETS] [-o OUTPUT_DIR]

Scan Atlassian Confluence web instances for CVE-2023-22515

options:
  -h, --help     show this help message and exit
  -f FILE        File containing a list of URLs to scan
  -t TARGETS     Comma-separated list of URLs to scan
  -o OUTPUT_DIR  Output directory

es:

python cve_2023_22515_scan.py -f urls.txt -o results

python cve_2023_22515_scan.py -t http://192.168.10.10,http://192.168.10.11 -o results`

Stati di vulnerabilità

• likely vulnerable: Il target sta eseguendo una versione vulnerabile (o la versione non può essere rilevata) e ha l'endpoint vulnerabile /server-info.action disponibile.
• likely not exploitable: Il target sta eseguendo una versione vulnerabile, ma l'endpoint /server-info.action non è accessibile, il che significa che probabilmente è corretto.
• not vulnerable: Il target non sta eseguendo una versione vulnerabile, oppure la versione non può essere rilevata e l'endpoint /server-info.action non era accessibile.
• unknown: Lo stato di vulnerabilità non può essere determinato perché si è verificato un errore durante il tentativo di accedere all'endpoint /server-info.action.

File di output

• cve_2023_22515_scan.json - File JSON con la versione del prodotto, lo stato di vulnerabilità e altre informazioni rilevanti per i sistemi riconosciuti dallo script. Esempio di contenuto:

[
  {
    "target_url": "http://192.168.91.202:8091",
    "product": "Atlassian Confluence",
    "version": "8.5.0",
    "vulnerability_status": "likely vulnerable"
  },
  {
    "target_url": "http://192.168.91.200:8090",
    "product": "Atlassian Confluence",
    "version": "8.4.3",
    "vulnerability_status": "not vulnerable"
  }
]

• cve_2023_22515_scan.txt - File di testo con una suddivisione leggibile dei risultati. Identico al report stampato nella console (senza i colori ANSI). Esempio di contenuto:

http://192.168.91.202:8091 - Product: Atlassian Confluence Version: 8.5.0 - vulnerability status: likely vulnerable
http://192.168.91.200:8090 - Product: Atlassian Confluence Version: 8.4.3 - vulnerability status: not vulnerable

Correzione

Si prega di fare riferimento all'avviso di sicurezza ufficiale per informazioni sulle versioni interessate e quelle corrette.

Esempio di output