CVE-2023-22515-Scan

소개

이것은 CVE-2023-22515를 위한 간단한 스캐너입니다. 이 취약점은 Atlassian Confluence Data Center 및 Server에서 발생하는 치명적인 취약점으로, 공격자들이 "승인되지 않은 Confluence 관리자 계정을 생성하고 Confluence 인스턴스에 접근"하기 위해 실제 환경에서 활발히 악용되고 있습니다. 이 취약점은 처음에는 "권한 상승(privilege escalation)" 문제로 설명되었지만, Atlassian은 이후 보안 권고에서 분류를 "손상된 접근 제어(broken access control)"로 변경했습니다.

CVE-2023-22515 타임라인

2023년 10월 4일: Atlassian이 CVE-2023-22515에 대한 보안 권고를 발표했으며, 당시에는 이를 Atlassian Confluence Data Center의 치명적인 "권한 상승" 취약점으로 설명했습니다. 이 권고에는 취약한 버전, 패치된 버전, 해결 방법 및 IOC가 포함되어 있습니다.
2023년 10월 5일: 미국 CISA가 CVE-2023-22515를 자사의 알려진 익스플로잇된 취약점 카탈로그에 추가했습니다. 같은 날 Rapid7은 10월 4일에 처음 게시된 CVE-2023-22515 관련 기사를 업데이트하여, Rapid7 보안 연구원 Stephen Fewer가 해당 취약점이 완전히 인증되지 않은 상태에서도 쉽게 악용될 수 있음을 확인했다고 언급했습니다. 또한 이 업데이트에서는 Rapid7이 해당 문제를 트리거하기 위해 /server-info.action 엔드포인트를 활용했으며, 이는 Atlassian 권고에 언급된 엔드포인트와 다르다고 밝혔습니다.
2023년 10월 6일: Atlassian은 보안 권고에서 CVE-2023-22515의 설명을 "권한 상승"에서 "손상된 접근 제어"로 수정했습니다.

CVE-2023-22515-Scan 세부 정보

이것은 호스트당 최대 두 개의 HTTP GET 요청을 수행하고 응답을 분석하여 Atlassian Confluence의 취약점 상태를 확인하는 간단한 스캐너입니다.

제공된 URL(앱의 기본 URL이어야 함)에 GET 요청을 보내 대상이 Atlassian Confluence인지 확인하고 제품 버전을 얻습니다.
/server-info.action에 GET 요청을 보내 응답 코드를 확인합니다. 패치 디퓨징(patch diffing) 결과 CVE-2023-22515에 대한 패치는 /server-info.action 엔드포인트를 완전히 제거하는 것으로 나타났습니다. 테스트 중 이 엔드포인트에서 다음과 같은 동작이 관찰되었습니다.
- 영향을 받지 않는 버전(8.0.0 이전)은 404 상태 코드로 응답
- 취약한 버전은 200 상태 코드로 응답
- 패치된 버전은 302 상태 코드로 응답

테스트된 버전

이 스캐너는 다음 버전의 Atlassian Confluence Server를 대상으로 성공적으로 테스트되었습니다:

7.4.10 (영향 없음)
8.4.2 (취약)
8.4.3 (패치됨)
8.5.0 (취약)
8.6.0 (최신 도커 이미지 - 패치됨)

이 스크립트는 제한된 수의 Atlassian Confluence Server 버전에서만 테스트되었으므로, 특히 Confluence Data Center 또는 테스트되지 않은 Confluence Server 버전에서는 스캐너가 완전히 신뢰할 수 없을 수 있습니다.

설치

저장소를 클론합니다

git clone https://github.com/ErikWynter/CVE-2023-22515-Scan.git

생성된 디렉터리로 이동합니다

cd CVE-2023-22515-Scan

pip로 종속성을 설치합니다. 로컬 python3 설정에 따라 필요한 명령은 다음 중 하나입니다:

pip install -r requirements.txt

또는:

pip3 install -r requirements.txt

사용법

usage: cve_2023_22515_scan.py [-h] [-f FILE] [-t TARGETS] [-o OUTPUT_DIR]

Scan Atlassian Confluence web instances for CVE-2023-22515

options:
  -h, --help     show this help message and exit
  -f FILE        File containing a list of URLs to scan
  -t TARGETS     Comma-separated list of URLs to scan
  -o OUTPUT_DIR  Output directory

예:

python cve_2023_22515_scan.py -f urls.txt -o results

python cve_2023_22515_scan.py -t http://192.168.10.10,http://192.168.10.11 -o results`

취약점 상태

likely vulnerable: 대상이 취약한 버전을 실행 중이며(또는 버전을 감지할 수 없으며) 취약한 /server-info.action 엔드포인트에 접근할 수 있습니다.
likely not exploitable: 대상이 취약한 버전을 실행 중이지만 /server-info.action 엔드포인트에 접근할 수 없습니다. 즉, 패치되었을 가능성이 높습니다.
not vulnerable: 대상이 취약한 버전을 실행 중이지 않거나, 버전을 감지할 수 없고 /server-info.action 엔드포인트에 접근할 수 없습니다.
unknown: /server-info.action 엔드포인트에 접근하는 동안 오류가 발생하여 취약점 상태를 확인할 수 없습니다.

출력 파일

cve_2023_22515_scan.json - 스크립트가 인식한 시스템에 대한 제품 버전, 취약점 상태 및 기타 관련 정보가 포함된 JSON 파일입니다. 예시 내용:

[
  {
    "target_url": "http://192.168.91.202:8091",
    "product": "Atlassian Confluence",
    "version": "8.5.0",
    "vulnerability_status": "likely vulnerable"
  },
  {
    "target_url": "http://192.168.91.200:8090",
    "product": "Atlassian Confluence",
    "version": "8.4.3",
    "vulnerability_status": "not vulnerable"
  }
]

cve_2023_22515_scan.txt - 결과를 사람이 읽을 수 있는 형태로 정리한 텍스트 파일입니다. 콘솔에 출력되는 보고서와 동일합니다(ANSI 색상 제외). 예시 내용:

http://192.168.91.202:8091 - Product: Atlassian Confluence Version: 8.5.0 - vulnerability status: likely vulnerable
http://192.168.91.200:8090 - Product: Atlassian Confluence Version: 8.4.3 - vulnerability status: not vulnerable

패치

영향을 받는 버전과 패치된 버전에 대한 정보는 공식 보안 권고를 참조하십시오.

예시 출력

example_output

CVE-2023-22515-Scan.

인기