roodhelios/cve-2022-26134-ognl-injectionCVE-2022-26134용 익스플로잇으로, Atlassian Confluence Server 및 Data Center의 OGNL 인젝션 취약점을 악용하여 인증되지 않은 원격 코드 실행을 가능하게 합니다.
Atlassian Confluence OGNL 인젝션 취약점에 대한 요청 URI 증거 및 완화 기록의 재현 가능한 로컬 분석.
이 저장소는 원본 학술 연구 산출물을 보존하고 로그 분석, 사례 처리, 완화 증거 검토를 위한 Python 도구를 추가합니다. 이러한 워크플로는 로컬 픽스처를 사용합니다. 익스플로잇 요청을 전송하거나 호스트를 스캔하지 않습니다.
| 목표 | 진입점 |
|---|---|
| 원본 사례 연구 읽기 | 연구 개요 |
| 기술 논문 읽기 | 원본 논문 |
| 발표 자료 보기 | 원본 슬라이드 |
| 방어 도구 실행 | 탐지 및 증거 가이드 |
| 요청 흐름 검토 | 분석 노트 |
Python 3.11 이상을 사용하십시오. 이 빠른 시작은 표준 라이브러리만 필요로 합니다. 저장소 루트에서 실행하십시오:
python -m detection.report_reader_cli \
CVE-2022-26134-OGNL-Injection/tests/fixtures/report-v1.golden.json
보고서는 파싱된 두 줄, 일치하는 요청 하나, 생성된 발견 사항 하나, 그리고 후보 기법 T1190을 요약합니다. 일치하는 URI는 탐지 증거일 뿐, 공격자가 코드를 실행했다는 증거는 아닙니다.
python -m detection.mitigation_evidence_cli tests/fixtures/mitigation-evidence-v1.json
합성 배포는 urgent 우선순위와 함께 review_required를 반환합니다. 한 노드는
고정 버전을 주장하고, 다른 노드는 임시 우회 조치를 기록합니다. 이는 의도적으로
클러스터 전체를 수정됨으로 표시하지 않습니다. 로컬 파일 집합 일치 항목도 파일 존재만으로는
서비스 재시작이나 완화 성공을 입증할 수 없으므로 미검증으로 표시됩니다.
미리 만들어진 보고서에서 시작하는 대신, 로컬 액세스 로그 픽스처를 저장된 분석가 케이스로 전환합니다:
python -m detection.log_case_cli tests/fixtures/local-case-access.log --scope synthetic \
--created-at 2026-10-19T00:01:00Z --output /tmp/confluence-log-case.sqlite
python -m detection.case_store_verify_cli /tmp/confluence-log-case.sqlite
POSIX에서 새 출력 경로를 사용하십시오. 두 개의 파싱된 요청, 하나의 일치하는 요청, 하나의 생성된 발견 사항, 그리고 application-security 큐를 예상하십시오. 저장된 케이스는 원시 요청 URI나 머신 로컬 로그 경로를 복사하지 않고 요약을 입력 SHA-256 및 청구된 범위에 바인딩합니다. 원본 로그는 별도로 비공개로 유지하십시오. no_findings 결과는 케이스나 데이터베이스를 생성하지 않으며 배포가 안전함을 증명하지 않습니다. 로그-투-케이스 제한 사항을 참조하십시오.
검증 카운트뿐만 아니라 분석가 검토를 위해 실제 저장된 케이스를 다시 읽으십시오:
python -m detection.case_export_cli /tmp/confluence-log-case.sqlite \
--output /tmp/confluence-case-review.json
report_type: case-document-export, verification.case_count: 1, 그리고
cases에 완전한 사례 문서, 해당 시퀀스, 페이로드
다이제스트를 포함하는 항목 하나가 있어야 합니다. 조치를 취하기 전에 해당 큐, 검토 단계, 소스 요약을 검사하십시오.
대기 중인 WAL 또는 저널 쓰기가 없는 닫힌 데이터베이스와 POSIX에서의 새로운 출력 경로를
사용하십시오. 내보내기 계약은
스냅샷, 프라이버시, 소스 검증 제한을 설명합니다.
별도의 프로세스에서 보존된 소스로부터 해당 저장된 사례를 재현하십시오:
python -m detection.log_case_verify /tmp/confluence-log-case.sqlite \
tests/fixtures/local-case-access.log --scope synthetic
status: reproduced가 표시되어야 합니다. 이는 데이터베이스, 원본 바이트, 탐지 요약, 라우팅 및 전체 사례 문서를 다시 검사합니다. 저장된 페이로드 해시만 확인하는 것보다 강력하지만, 소스나 생성 타임스탬프를 인증하지는 않습니다.
문서화된 Apache combined-log 하위 집합의 경우, 두 명령 모두에 --log-format combined를 추가하고 tests/fixtures/combined-access.log를 사용하십시오. 이는 lab 형식으로 다시 작성할 필요 없이 동일한 2개 요청, 1개 발견 사항 검토를 생성합니다. 기본값은 여전히 lab이며, 형식 추측은 없습니다. 허용되는 필드와 지원되지 않는 사용자 지정 형식은 combined-log 계약을 참조하십시오.
보고서나 키 파일을 준비하지 않고 클러스터 증거 인증을 시도해 보십시오:
python -m detection.cluster_demo
메모리 내에 두 개의 조작된 노드 보고서를 생성하고 이를 집계하며, 임시 랜덤 HMAC 키로 매니페스트를 검증합니다. 요약에는 review_required, unchanged_manifest: verified, 그리고 변경된 노드, 다른 배포, 오래된 관측에 대한 거부된 검사가 표시됩니다. 신선도는 고정된 데모 시계를 사용합니다. 키, MAC, 호스트 데이터 또는 파일은 출력되거나 보존되지 않습니다. Confluence 호스트에 접속하지 않습니다. 검증된 매니페스트가 합성 클러스터를 완화된 상태로 만들거나 소스의 주장이 사실임을 입증하지는 않습니다.
다른 프로세스에서 검증하기 위해 해당 합성 보고서를 보존하려면 cluster_demo --output-dir NEW_DIRECTORY --key-file PRIVATE_EXTERNAL_KEY를 사용하십시오. 탐지 가이드에는 키 준비, 검증 명령, 고정 시계 제한 사항이 포함되어 있습니다. 키는 증거 디렉터리에 절대 복사되지 않습니다.
단일 명령으로 전체 합성 보고서-사례 경로를 실행하십시오:
python -m detection.demo
golden 보고서를 읽고, application-security 큐를 선택하고, 케이스를 생성하여
임시 SQLite에 저장하고, 동일한 삽입을 재시도하며, 저장된 무결성을 검증합니다.
요약은 저장된 케이스 하나와 status: verified를 보고하며, 재시도는 중복 행을
생성하지 않습니다. 실행 후 임시 파일은 제거됩니다. 이는 로컬 케이스 저장소
검증이며, 실제 사고나 Confluence 배포가 안전하다는 증명은 아닙니다.
삭제하는 대신 검토 가능한 증거를 보존하려면 새 출력 디렉터리를 선택하십시오:
python -m detection.demo --output-dir /tmp/confluence-synthetic-review
python -m detection.case_store_verify_cli /tmp/confluence-synthetic-review/cases.sqlite
python -m detection.bundle_verify /tmp/confluence-synthetic-review
디렉터리에는 case.json, cases.sqlite, summary.json, 그리고 나머지 세 파일에 대한 SHA-256 해시가 담긴 checksums.json이 포함됩니다. 기존 경로는 절대 덮어쓰지 않으며, 상위 디렉터리는 이미 존재해야 합니다. 복사가 시작되기 전에 POSIX에서 해당 디렉터리는 비공개 상태입니다. 체크섬은 우발적인 변경을 감지할 뿐, 악의적인 교체나 서명자 신원을 감지하지는 않습니다. 보존된 데이터는 Git 외부에 두십시오. 복사가 중단되면 불완전한 디렉터리가 남을 수 있으므로, 이를 점검하고 재시도 전에 새로운 경로를 선택하십시오. 성공적인 종료만이 전체 번들이 복사되었음을 확인해 줍니다.
POSIX에서 bundle_verify는 세 개의 SHA-256 값을 모두 확인하고, 비공개 읽기 전용 SQLite 스냅샷을 검증하며, case.json을 저장된 레코드와 비교하고, 요약을 대조합니다. 성공 시 status: verified와 artifacts_checked: 3을 보고하며, 실패 시 성공 문서 없이 종료 코드 2로 종료됩니다. 예상되는 네 개의 일반 파일만 허용하고, 심볼릭 링크를 거부하며, 각 JSON 파일을 1 MiB로, 데이터베이스를 16 MiB로 제한합니다. 입력 번들은 변경하지 않습니다. 이는 합성 단일 사례 번들 형식만 검증하며, 일반 사례 데이터베이스, 출처, 진위 여부, 또는 완화 상태는 검증하지 않습니다.
| 영역 | 구현된 경계 |
|---|---|
| URI 및 액세스 로그 분석 | 로컬 파싱, 제한된 디코딩, 신뢰도 및 증거 필드 |
| 보고서 계약 | 버전 인식 리더 및 결정적 JSON 검증 |
| 사례 처리 | 픽스처 라우팅, 사례 문서, 추가 전용 SQLite 레코드, 확인 응답 |
| 완화 검토 | 버전 및 우회 방안 증거에 대한 노드 수준 및 클러스터 검토 |
| 증거 인증 | 배포 및 선택적 신선도 검사를 포함한 공유 HMAC 매니페스트 |
입력 형식, 명령 및 제한 사항은 상세 가이드를 참조하십시오. 레거시 모듈은 원래 연구 디렉터리에 남아 있으며, 루트 detection 패키지는 소스 체크아웃 진입점을 제공합니다. 호환성 노트를 참조하십시오.
python -m unittest discover -s tests -v
python -m unittest discover -s CVE-2022-26134-OGNL-Injection/tests -v
명령은 최신 증거 도구와 유지된 탐지기 테스트를 다룹니다. 입력은 합성 또는 로컬 테스트 데이터입니다. 외부 Confluence 설치에는 접속하지 않습니다.
이것은 방어적 연구 실험실이며, 취약점 스캐너나 배포가 패치되었음을 인증하는 도구가 아닙니다. HMAC 보유자는 인증된 레코드를 생성할 수 있으므로, 매니페스트는 독립적인 서명자 신원을 제공하지 않습니다. 향후 작업에는 내구성 있는 클러스터 매니페스트 충돌 복구 훈련과 비대칭 증거 서명이 포함됩니다. 클러스터 매니페스트 생성은 이제 비공개 완전 파일을 배타적으로 게시하고 POSIX에서 파일과 디렉터리를 동기화합니다. 재시도 동작과 파일 시스템 제한은 탐지 가이드를 참조하십시오.
키와 실제 사고 데이터는 Git 외부에 보관하십시오. 원본 논문과 슬라이드는 보존되어 있으며, Python 워크플로는 어시스턴트 지원을 받는 진행 중인 확장입니다.