Удаленное выполнение кода без аутентификации в Confluence через OGNL-инъекцию (CVE-2022-26134) на Ruby

Confluence — это веб-корпоративная вики, разработанная австралийской компанией Atlassian.

2 июня 2022 года Atlassian выпустила бюллетень безопасности для своих приложений Confluence Server и Data Center, сообщив о критической уязвимости, позволяющей удаленное выполнение кода без аутентификации. Уязвимость OGNL-инъекции позволяет неаутентифицированному пользователю выполнять произвольный код на экземпляре Confluence Server или Data Center.

Ссылки:

• https://confluence.atlassian.com/doc/confluence-security-advisory-2022-06-02-1130377146.html
• https://attackerkb.com/topics/BH1D56ZEhs/cve-2022-26134/rapid7-analysis
• https://github.com/vulhub/vulhub/tree/master/confluence/CVE-2022-26134

Уязвимое окружение

Выполните следующую команду для запуска Confluence Server 7.13.6:

docker-compose up -d

После запуска окружения перейдите на http://your-ip:8090 — вы увидите мастер установки. Выберите «Пробная установка», после чего потребуется ввести лицензионный ключ. Вам следует запросить тестовый сертификат Confluence Server у Atlassian.

Следуйте этому руководству, чтобы завершить установку.

На странице настройки базы данных заполните форму, указав адрес базы данных db, имя базы данных confluence, пользователя postgres и пароль postgres.

Эксплойт

Примечание: эксплойт находится в разработке, приветствуются любые идеи pull request'ов.

https://user-images.githubusercontent.com/24976957/172490114-2b81b6f1-9c4d-4542-9d8d-e4d7b4a82d9d.mov