CVE-2023-22515-Scan

Sobre

Este é um scanner simples para CVE-2023-22515, uma vulnerabilidade crítica no Atlassian Confluence Data Center e Server que está sendo ativamente explorada por atores de ameaças para "criar contas de administrador não autorizadas do Confluence e acessar instâncias do Confluence". A vulnerabilidade foi inicialmente descrita como um problema de "escalonamento de privilégios", mas a Atlassian posteriormente alterou a classificação para "controle de acesso quebrado" em seu aviso de segurança.

Linha do tempo do CVE-2023-22515

• 4 de outubro de 2023: A Atlassian publica um aviso de segurança sobre o CVE-2023-22515, que então descreveu como uma vulnerabilidade crítica de "escalonamento de privilégios" no Atlassian Confluence Data Center. O aviso cobre versões vulneráveis, versões corrigidas, soluções alternativas e IOCs.
• 5 de outubro de 2023: A CISA dos EUA adiciona o CVE-2023-22515 ao seu Catálogo de Vulnerabilidades Exploradas Conhecidas. No mesmo dia, a Rapid7 atualiza seu artigo sobre o CVE-2023-22515, originalmente publicado em 4 de outubro, para mencionar que o pesquisador de segurança da Rapid7 Stephen Fewer confirmou que a vulnerabilidade é totalmente não autenticada e trivialmente explorável. A atualização também mencionou que a Rapid7 utilizou o endpoint /server-info.action para acionar o problema, o que é diferente dos endpoints mencionados no aviso da Atlassian.
• 6 de outubro de 2023: A Atlassian edita a descrição do CVE-2023-22515 em seu aviso de segurança de "escalonamento de privilégios" para "controle de acesso quebrado".

Detalhes do CVE-2023-22515-Scan

Este é um scanner simples que tentará determinar o status de vulnerabilidade do Atlassian Confluence realizando até duas requisições HTTP GET por host e analisando as respostas:

• Uma requisição GET para a URL fornecida (que deve ser a URL base do aplicativo) para verificar se o alvo é o Atlassian Confluence e obter a versão do produto.
• Uma requisição GET para /server-info.action para verificar o código de resposta. A comparação de patches mostrou que a correção para o CVE-2023-22515 remove completamente o endpoint /server-info.action. Durante os testes, o seguinte comportamento foi observado para este endpoint:
  • Versões não afetadas (anteriores a 8.0.0) respondem com código de status 404
  • Versões vulneráveis respondem com código de status 200
  • Versões corrigidas respondem com código de status 302

Versões testadas

O scanner foi testado com sucesso nas seguintes versões do Atlassian Confluence Server:

• 7.4.10 (não afetado)
• 8.4.2 (vulnerável)
• 8.4.3 (corrigido)
• 8.5.0 (vulnerável)
• 8.6.0 (última imagem docker - corrigida)

Como o script foi testado em um número limitado de versões do Atlassian Confluence Server, o scanner pode não ser totalmente confiável, especialmente para o Confluence Data Center ou para versões não testadas do Confluence Server.

Instalação

• Clone o repositório

git clone https://github.com/ErikWynter/CVE-2023-22515-Scan.git

• Entre no diretório criado

cd CVE-2023-22515-Scan

• Instale as dependências com pip. Dependendo da sua configuração local do python3, os comandos necessários serão:

pip install -r requirements.txt

ou:

pip3 install -r requirements.txt

Uso

usage: cve_2023_22515_scan.py [-h] [-f FILE] [-t TARGETS] [-o OUTPUT_DIR]

Escaneie instâncias web do Atlassian Confluence para CVE-2023-22515

options:
  -h, --help     mostra esta mensagem de ajuda e sai
  -f FILE        Arquivo contendo uma lista de URLs para escanear
  -t TARGETS     Lista separada por vírgulas de URLs para escanear
  -o OUTPUT_DIR  Diretório de saída

exemplo:

python cve_2023_22515_scan.py -f urls.txt -o results

python cve_2023_22515_scan.py -t http://192.168.10.10,http://192.168.10.11 -o results`

Status de vulnerabilidade

• provavelmente vulnerável: O alvo está executando uma versão vulnerável (ou a versão não pôde ser detectada) e possui o endpoint vulnerável /server-info.action disponível.
• provavelmente não explorável: O alvo está executando uma versão vulnerável, mas o endpoint /server-info.action não está acessível, o que significa que provavelmente está corrigido.
• não vulnerável: O alvo não está executando uma versão vulnerável, ou a versão não pôde ser detectada e o endpoint /server-info.action não estava acessível.
• desconhecido: O status de vulnerabilidade não pôde ser determinado porque ocorreu um erro ao tentar acessar o endpoint /server-info.action.

Arquivos de saída

• cve_2023_22515_scan.json - Arquivo JSON com a versão do produto, status de vulnerabilidade e outras informações relevantes para quaisquer sistemas reconhecidos pelo script. Exemplo de conteúdo:

[
  {
    "target_url": "http://192.168.91.202:8091",
    "product": "Atlassian Confluence",
    "version": "8.5.0",
    "vulnerability_status": "likely vulnerable"
  },
  {
    "target_url": "http://192.168.91.200:8090",
    "product": "Atlassian Confluence",
    "version": "8.4.3",
    "vulnerability_status": "not vulnerable"
  }
]

• cve_2023_22515_scan.txt - Arquivo de texto com uma análise legível dos resultados. Isso é idêntico ao relatório sendo impresso no console (sem as cores ANSI). Exemplo de conteúdo:

http://192.168.91.202:8091 - Product: Atlassian Confluence Version: 8.5.0 - vulnerability status: likely vulnerable
http://192.168.91.200:8090 - Product: Atlassian Confluence Version: 8.4.3 - vulnerability status: not vulnerable

Correção

Consulte o aviso de segurança oficial para obter informações sobre as versões afetadas e as versões corrigidas.

Exemplo de saída