muhammad-ali007/atlassian_cve-2022-26134Esecuzione remota di codice pre-autenticazione in Confluence tramite iniezione OGNL (CVE-2022-26134)
Confluence Pre-Auth Remote Code Execution via OGNL Injection (CVE-2022-26134)
Il 30 maggio 2022, un'organizzazione chiamata Volexity ha identificato una vulnerabilità di RCE non autenticata (con punteggio 9.8 su NIST) nelle edizioni Confluence Server e Data Center di Atlassian (https://www.atlassian.com/software/confluence).
Confluence è un framework collaborativo di documentazione e gestione progetti per team. Confluence aiuta a monitorare lo stato dei progetti offrendo uno spazio di lavoro centralizzato per i membri.
Le seguenti versioni di Confluence sono vulnerabili a questa CVE:
Puoi visualizzare la voce NIST per CVE-2022-26134 qui (https://nvd.nist.gov/vuln/detail/CVE-2022-26134).
Questa CVE sfrutta una vulnerabilità nel linguaggio di espressione OGNL (Object-Graph Navigation Language) per Java. OGNL viene utilizzato per ottenere e impostare le proprietà degli oggetti Java, tra molte altre cose.
Ad esempio, OGNL viene utilizzato per collegare elementi front-end come le caselle di testo agli oggetti back-end e può essere usato in applicazioni web basate su Java come Confluence. Possiamo vedere come OGNL viene utilizzato nello screenshot qui sotto. I valori vengono inseriti in un modulo web, dove verranno memorizzati in oggetti all'interno dell'applicazione.
Sfruttamento Possiamo abusare del fatto che OGNL può essere modificato; possiamo creare un payload per testare e verificare gli exploit.
Per sfruttare questa vulnerabilità in OGNL, dobbiamo effettuare una richiesta HTTP GET e inserire il nostro payload nell'URI. Ad esempio, possiamo istruire il runtime Java per eseguire un comando come la creazione di un file sul server: "${@java.lang.Runtime@getRuntime().exec("touch /tmp/thm/")}/".
Dovrà essere codificato come URL. Puoi usare questo sito web per aiutarti a codificare i tuoi payload come URL (nota che il tuo payload curl dovrà terminare con una / finale e non con $2F). Comando: user@host~ curl -v http://<target_ip>:8090/%24%7B%40java.lang.Runtime%40getRuntime%28%29.exec%28%22touch%20/tmp/thm%22%29%7D/ Ora, verifica che il comando precedente sia stato eseguito correttamente eseguendo il comando "ls /tmp" nel comando sopra.
Ci sono alcuni PoC funzionanti in giro; dimostrerò il PoC di Samy Younsi (Mwqda) scritto in Python e ospitato su GitHub (https://github.com/h3v0x/CVE-2022-26134).
Rilevamento File di log Confluence è un server Apache Tomcat con logging situato in /opt/atlassian/confluence/logs. Puoi usare comandi come grep per cercare richieste HTTP GET di payload che utilizzano il runtime Java per eseguire comandi. Ad esempio:
grep -R "/%24%7B%40java.lang.Runtime%40getRuntime%28%29.exec%28%22" in catalina.out
YARA Se hai Yara installato sul server che esegue Confluence, Volexity (gli scopritori della vulnerabilità) ha creato la regola Yara da utilizzare, fornita in questo repository e anche al seguente link (https://github.com/volexity/threat-intel/blob/main/2022/2022-06-02%20Active%20Exploitation%20Of%20Confluence%200-day/indicators/yara.yar).
Applicazione della patch Atlassian ha pubblicato un advisory per i propri prodotti interessati da questa CVE, che puoi leggere qui (https://confluence.atlassian.com/doc/confluence-security-advisory-2022-06-02-1130377146.html). Per risolvere il problema, devi aggiornare la tua versione di Confluence. L'elenco suggerito al momento della pubblicazione è:
Ricorda, OGNL è un linguaggio di espressione per applicazioni web basate su Java, quindi questa vulnerabilità si applicherà anche ad altre app web che eseguono le stesse classi usate da Confluence!
Materiale di lettura aggiuntivo: