CVE-2023-22515-NSE

Vulnerability checking tool via Nmap Scripting Engine

1. Принципы (механизмы) работы уязвимости CVE-2023-22515 для Atlassian Confluence Server.

1. Злоумышленник изменяет конфигурацию сервера, отправляя запрос на уязвимый endpoint: bootstrapStatusProvider.applicationConfig.setupComplete=false
2. Отправляет POST запрос на /setup/setupadministrator.action, что позволяет создать новую учетную запись администратора.
3. Злоумышленник авторизуется через /rest/api/user?username={username} и начинает все ломать.

2. NSE скрипт для NMap, который показал наличие или отсутствие вышеупомянутой узявимости.

Скрипт располагается непосредственно в файле script.nse. Проверка наличия/отсутствия уязвимости, реализована путем:

1. Сверки версии ПО.
2. Анализ ответов на запросы к уязвимым роутам.

• Пример для уязвимой версии:

• Пример для исправленной версии:

3. Способ протестировать работу скрипта.

1. Запуск сервисов: docker compose up
2. Запуск сканирования: nmap --script script.nse localhost

4. Действия со стороны администратора системы которые позволили бы ему “скрыть” факт наличие уязвимости.

Вот топ 5 мест откуда можно скрыть версию сервиса: https://confluence.atlassian.com/confkb/how-to-hide-version-information-on-confluence-980460833.html

• Login page footer.
• Response Head AJS Tags.
• Response Body What's New Link.
• Response Body Confluence Help Link.
• About Confluence Link

Материалы

• https://github.com/Chocapikk/CVE-2023-22515/blob/main/exploit.py
• https://nmap.org/nsedoc
• https://confluence.atlassian.com/security/cve-2023-22515-privilege-escalation-vulnerability-in-confluence-data-center-and-server-1295682276.html
• https://www.lua.org/manual/5.4/
• https://ru.piliapp.com/emoji/list/smileys-people/