Detecção de Exploração do Confluence RCE [CVE-2022-26134]

Pré-requisitos

1. ClamAV

Clone este repositório ou baixe a regra Yara no seu servidor Confluence

Estamos usando a regra Yara fornecida por volexity/threat-intel, que foi o primeiro a revelar essa vulnerabilidade.

Clone via Git

git clone https://github.com/th3b3ginn3r/CVE-2022-26134-Exploit-Detection.git

Download do arquivo raw

CVE-2022-26134.yar: https://raw.githubusercontent.com/th3b3ginn3r/CVE-2022-26134-Exploit-Detection-on-Linux/main/CVE-2022-26134.yar

curl -o <CVE-2022-26134.yar url>

Alternativamente, você também pode baixar a regra Yara diretamente do repositório volexity.

Uso

sudo clamscan -d /path-to-the/CVE-2022-26134.yar -r /path-to-scan -io #If scannig "/" root directory, include " exclude-dir="^/sys" " in the command.

Lendo os resultados

Agora, depois de executar a verificação, você receberá o resumo da verificação. Abaixo está um exemplo dele.

----------- SCAN SUMMARY -----------
Known viruses: 3 #These are the number of Yara rules in the CVE-2022-26134.yar file
Engine version: 0.xxx.5
Scanned directories: 20000
Scanned files: 200000
Infected files: 0 #See the count of infected files or the list of files that matches the conditions of the Yara rules
Data scanned: 1000.08 MB
Data read: 18000.00 MB (ratio 0.54:1)
Time: 284.885 sec (4 m 44 s)
Start Date: 2022:06:03 00:19:34
End Date:   2022:06:03 00:24:19

Caça Manual

Você também pode querer procurar atividades suspeitas nos logs do Confluence a seguir:

1. Log de acesso conf (o nome do arquivo de log pode variar no seu ambiente)
2. catalina*.log

Artigo detalhado sobre Caça Manual: https://link.medium.com/cebuWoAazqb

Licença

[GPL] Licença GPL-3.0