Confluence-CVE-2022-26134

このリポジトリでは、Atlassian Confluence のゼロデイ悪用について、SecOps またはブルーチームの視点からの防御と分析の観点で解説しています。

Index

概要
タイムライン
エクスプロイトの理解
IOC リスト
検出戦略
緩和策
参考資料

概要

米国のメモリアルデーウィークエンドに、Volexity は、Atlassian Confluence Server ソフトウェアを実行している 1 顧客が所有する 2 つのインターネット公開 Web サーバーを含むインシデントレスポンス調査を実施しました。この調査は、JSP Web シェルがディスクに書き込まれるなど、ホスト上で不審なアクティビティが検出された後に開始されました。Volexity は直ちに Volexity Surge Collect Pro を使用して、Confluence Server システムからシステムメモリと主要ファイルを収集し、分析を行いました。収集したデータを徹底的にレビューした結果、Volexity は、サーバー侵害が攻撃者がリモートコード実行を達成するためのエクスプロイトを起動したことに起因すると判断できました。その後 Volexity はそのエクスプロイトを再現し、完全に最新の Confluence Server バージョンに影響するゼロデイ脆弱性を特定しました。

この脆弱性の発見と検証に続いて、Volexity は 2022 年 5 月 31 日に Atlassian に連絡し、関連する詳細を報告しました。Atlassian はその後この脆弱性を確認し、この問題に CVE-2022-26134 を割り当てました。現在の Confluence Server および Data Center のバージョンで動作することが確認されています。

タイムライン

2022 年 6 月 2 日 1300 PT（2000 UTC）付のアドバイザリは、この欠陥の性質を説明しておらず、「現在進行中の活発な悪用」が検出されたことを明らかにしています。パッチは提供されていません。
Volexity は、Confluence のゼロデイを 2022 年 6 月 3 日（GMT）に発見しました。
2022 年 6 月 3 日（GMT）、Atlassian は
- 影響を受けるバージョンを明確化
- WAF ルールを追加
- 修正が利用可能になるまでの推定スケジュールを追加
2022 年 6 月 3 日には、インターネット上で活発な悪用の試みや PoC の公開が確認されました。
2022 年 6 月 3 日午前 8 時 PDT（太平洋時間、-7 時間）、Atlassian は代替 jar ファイルとクラスファイルを含む緩和情報を提供。
2022 年 6 月 3 日午前 10 時 PDT（太平洋時間、-7 時間）、Atlassian は修正バージョンで更新し、WAF ルール追加に関する暫定アドバイスを削除。
2022 年 6 月 3 日午後 4 時 PDT（太平洋時間、-7 時間）、Atlassian はローリングアップグレードに関する制限を明確化するよう更新。

技術的な詳細はこちらを参照してください。

エクスプロイトの理解

このエクスプロイトの動作原理の詳細と分析の詳細については、Volexity ブログこちらを参照してください。
エクスプロイトとその修復方法を理解するには、このビデオをご覧ください。

IOC リスト

ゼロデイ脆弱性であり、非常に簡単に悪用されるため、排他的な IOC リストはありません。コミュニティ調査から、攻撃者は悪用後に XMRIG、KINSING、MIRAI などを展開しようとしたことが観察されました。
エクスプロイト文字列には、この文字列 ${ が「含まれているように見えます」。このパターンは URL エンコードされておらず、URL セーフでもないため、ログでは $%7B として表示されます。
Volexity ブログでは、Confluence ファイル noop.jsp が参照されています。
パス情報のない .jsp 拡張子の Web シェルが存在すること。例: これ
一部の IP アドレス-

154.146.34.145
154.16.105.147
156.146.34.46
156.146.34.52
156.146.34.9
156.146.56.136
198.147.22.148
198.147.22.148
221.178.126.244
45.43.19.91
59.163.248.170
64.64.228.239
66.115.182.102
66.115.182.111
67.149.61.16
98.32.230.38
193.106.191.48

悪意のある noop.jsp のファイルハッシュ

f39b321472b8dac2452e4c0bc687cb5aa401ac6687520fdc9fd523a17477886d
f8df4dd46f02dc86d37d46cf4793e036

2022 年 6 月 4 日には、Atlassian Confluence CVE-2022-26134 の悪用が広範囲に観測され、特に 動作が確認されている ものです。固有の IP はこちらから確認できます。

検出戦略

パッチが適用されていないインターネット公開の Confluence Server および Data Center がある場合、侵害済み と解釈するのが賢明です。
ディスク上の Confluence パスにある、.jsp 拡張子またはその他の拡張子を持つ新しいファイルを探します。
Tomcat ログから不審な子プロセスを探します。

DeviceProcessEvents
| where InitiatingProcessFileName has_any( @"tomcat9.exe")
//| where ProcessCommandLine has_any (@"whoami.exe",@"nslookup.exe")

文字列 ${ を (install directory)/logs/*.log 内で探します。
アクセスログで egrep -a -i -f pattern.txt *.log を試します。ここで pattern.txt には ${ を保存するか、単に grep "\${" log file path または grep "$%7B" log file path を試してください。
noop.js への Web リクエストが届く可能性があるため、findstr -i noop.jsp "logpath" を試すことができます。
インストールディレクトリは異なる場合があります。confluence_install_dir/work/Standalone/ ディレクトリ内を調べて、$jspname_jsp.java を探してください。たとえば、hack.jsp というシェルが見つかった場合、hack_jsp.java が存在するはずです。hack.jsp がもうディスク上にない場合は、Web ログを遡ってアクセスの痕跡を探してください。それがいつアクセスまたは削除されたかがわかります。
EQL クエリ process where event='CreateProcess' and parent_process_path='/opt/atlassian/confluence/jre/bin/java' and process_user_name='confluence' は、David がで説明しているように、識別に役立ちます。

./admin/findspaceattachments.jsp
./admin/cluster/hashclustername.jsp
./admin/default.jsp
./classpath.jsp
./errors/notfound.jsp
./500page.jsp
./errors.jsp
./noop.jsp

上記にリストされていない新規作成ファイルを探します。
ディスク上にリストされていないファイルや、アクセスログで 200 応答があるファイルを確認します。さらに、これらのファイルが変更されていないか確認してください。特に noop.jsp はよく使われ、通常は約 103 バイトです。
noop.jsp ファイルが検出された場合、このスクリプトを使用して不審かどうかを特定できます。
このスクリプトを使用してログをすばやくスキャンし、潜在的な脅威アクターを確認できます。注: 使用前に IP リストを検証する必要があります。また、このリストは網羅的ではありません。
複数のケースを調べて、./confluence/org/apache/jsp/ ディレクトリ内に存在すべきでない .java ファイルを探します。
エクスプロイトの試行を特定したホストでは、プロセスツリーとプロセス実行を確認してください。java->bash->python->bash のようなプロセスツリーを探してください。
python プロセスによって生成され、その親が別の bash プロセスであり、そのルートが java プロセスであるような bash プロセス。この種の実行を特定する必要があります。

緩和策

このリポジトリの最初のコミット時点で、Atlassian は Confluence Server および Data Center のパッチ適用済みバージョンをこちらからリリースしています。
直ちに Confluence をアップグレードできない場合は、一時的な回避策として、こちらの説明に従って以下のファイルを更新することで CVE-2022-26134 の問題を緩和できます。
緊急の対応として、インターネットに公開されているインスタンスを特定して検出を実行するためのインシデントレスポンス計画を作成してください。また、リスク面を減らすために、サーバーを IP ホワイトリストまたは VPN の下に置いてください。

人気

Confluence-CVE-2022-26134

Confluence-CVE-2022-26134

Index

概要

タイムライン

エクスプロイトの理解

IOC リスト

検出戦略

緩和策

参考資料