ConfluencePotは、Atlassian Confluenceの未認証リモートOGNLインジェクション脆弱性（CVE-2022-26134）用のシンプルなハニーポットです。
この脆弱性に関するAtlassianの公式アドバイザリはこちらをご覧ください。内部の仕組みや実際のエクスプロイトの詳細については、Rapid7およびCloudflareのレポートを参照してください。 影響を受けているがまだパッチが適用されていないシステムは、さらなる調査が行われるまで侵害されたと見なすべきです。
ConfluencePotはGolangで書かれており、攻撃対象領域を最小限に抑えるために独自のHTTPSサーバーを実装しています。正規のConfluenceインスタンスのように見せかけるために、最小限のConfluenceランディングページを返します。ログ出力は標準出力とディスク上のログファイルに書き込まれます。ConfluencePotは攻撃者があなたのマシン上でコマンド/コードを実行することを許可しません。リクエストをログに記録し、偽のレスポンスを返すだけです。
ConfluencePotを実行/ビルドするには、新しいバージョンのGolangと、ポート443にバインドするための適切な権限が必要です。取り扱いを容易にするため、tmuxセッションで実行することをお勧めします。ConfluencePotを実行するには、opensslで自己署名TLS証明書を作成するか、またはLet's Encryptなどから証明書を要求する必要があります。
go build confluencePot.go
./confluencePot
ConfluencePotは、執筆時点で最も広く使用されていると思われるNwqdaによる公開エクスプロイトを使用してテストされました。ConfluencePotに問題が見つかった場合は、お気軽にIssueを開くかプルリクエストを送ってください。
Twitterでフォローしてください --> @SI_FalconTeam <-- 最新の研究をチェックしましょう。安全にお過ごしください！