• 8.5.5 или более поздняя в серии 8.5.x
• 8.7.2 или более поздняя в серии 8.7.x
• 8.8.1 или более поздняя в серии 8.8.x

Описание уязвимости

Данная уязвимость существует в механизме обработки шаблонов Confluence и затрагивает определённые конечные точки, которые обрабатывают данные шаблонов без надлежащей очистки. Уязвимость позволяет злоумышленникам внедрять вредоносный код шаблона, который выполняется на сервере, что приводит к удалённому выполнению кода.

Технические подробности

Уязвимость представляет собой серверную инъекцию шаблонов (Server-Side Template Injection, SSTI), которая возникает, когда:

1. Пользовательский ввод передаётся в функции обработки шаблонов
2. Шаблонизатор обрабатывает ввод без надлежащей санитизации
3. Вредоносные директивы шаблонов выполняются на сервере

Уязвимость затрагивает определённые конечные точки Confluence, связанные с обработкой шаблонов, в частности:

• Функции рендеринга шаблонов
• Некоторые административные конечные точки
• Функции обработки контента

Векторы атаки

Основной вектор атаки

• Сетевой: удалённая эксплуатация без аутентификации через HTTP/HTTPS
• Сложность атаки: низкая — не требуется особых условий
• Необходимые привилегии: отсутствуют — доступ без аутентификации
• Взаимодействие с пользователем: не требуется

Цепочка атаки

1. Злоумышленник находит уязвимый экземпляр Confluence
2. Создаёт вредоносную полезную нагрузку для инъекции шаблонов
3. Отправляет полезную нагрузку на уязвимую конечную точку
4. Шаблонизатор обрабатывает вредоносный код
5. Достигается удалённое выполнение кода на сервере

Оценка воздействия

Потенциальное воздействие

• Полная компрометация системы
• Эксфильтрация данных — утечка конфиденциальной информации
• Горизонтальное перемещение внутри сетевой инфраструктуры
• Атаки типа «отказ в обслуживании»
• Установка постоянных бэкдоров
• Повышение привилегий до системного уровня доступа

Бизнес-воздействие

• Критическое: полная компрометация инфраструктуры Confluence
• Утечка данных: доступ ко всему хранимому контенту и пользовательским данным
• Нарушение работы: потенциальное полное прерывание сервиса
• Нарушение соответствия требованиям: возможные регуляторные последствия

Хронология эксплуатации

• 2023-12: уязвимость обнаружена
• 2024-01-16: опубликован CVE и выпущены исправления
• 2024-01-17: замечены попытки публичной эксплуатации
• 2024-01-18: обнаружены массовые кампании сканирования
• 2024-01-20: подтверждена активная эксплуатация в дикой природе

Обнаружение и индикаторы

Сетевые индикаторы

• Необычные HTTP-запросы к конечным точкам Confluence
• Паттерны инъекции шаблонов в параметрах запросов
• Аномальное время ответа от сервера Confluence
• Неожиданные исходящие сетевые соединения

Системные индикаторы

• Необычные процессы, запущенные под учётной записью службы Confluence
• Неожиданные изменения файловой системы
• Новые сетевые слушатели на нестандартных портах
• Подозрительные журналы выполнения команд

Паттерны журналов для мониторинга

Смягчение последствий и устранение

Немедленные действия

1. Немедленно установите обновления до исправленных версий
2. Сетевая изоляция уязвимых экземпляров
3. Мониторинг попыток эксплуатации
4. Проверка журналов доступа на подозрительную активность

Долгосрочные меры безопасности

1. Регулярные обновления безопасности
2. Сегментация сети
3. Развёртывание межсетевого экрана для веб-приложений (WAF)
4. Мониторинг безопасности и журналирование
5. Регулярные оценки безопасности

Экстренное реагирование

Если эксплуатация подозревается:

1. Немедленно изолируйте затронутые системы
2. Сохраните журналы и улики
3. Оцените масштаб компрометации
4. Запустите процедуры реагирования на инциденты
5. Уведомите заинтересованные стороны по мере необходимости

Стратегии предотвращения

Технические меры контроля

• Проверка ввода и санитизация
• Изоляция шаблонов в песочнице и ограничения
• Принцип минимальных привилегий
• Контроль сетевого доступа
• Регулярное сканирование уязвимостей

Административные меры контроля

• Процессы управления исправлениями
• Обучение по вопросам безопасности
• Планирование реагирования на инциденты
• Регулярные оценки безопасности
• Процедуры управления изменениями

Ссылки и ресурсы

Официальные источники

• Консультация Atlassian по безопасности
• Национальная база данных уязвимостей (NVD)
• Запись CVE в MITRE

Исследования в области безопасности

• Консультация CISA
• Блог команды безопасности Atlassian

Инструменты и скрипты

• Обновления сканеров уязвимостей
• YARA-правила для обнаружения
• Сигнатуры IDS/IPS

Отказ от ответственности

Этот репозиторий предназначен только для образовательных и защитных целей. Представленная здесь информация должна использоваться для:

• Понимания уязвимости для лучшей защиты
• Внедрения надлежащих мер смягчения и контроля
• Разработки возможностей обнаружения
• Обучения команд безопасности об этой угрозе

Эта информация не должна использоваться для:

• Несанкционированного тестирования или эксплуатации
• Вредоносных действий
• Атак на системы, которыми вы не владеете или на тестирование которых у вас нет разрешения

Участие в разработке

Приветствуется вклад в улучшение документации, добавление правил обнаружения или совершенствование стратегий смягчения последствий. Пожалуйста, убедитесь, что все вклады сосредоточены на защитных мерах и принципах ответственного раскрытия информации.

Структура репозитория

Этот репозиторий содержит подробную документацию и ресурсы по CVE-2023-22527:

📚 Документация

🎯 Быстрая навигация

• 🚨 Экстренное реагирование — немедленные действия при подозрении на эксплуатацию
• 🔍 Обнаружение — как выявить попытки эксплуатации
• 🛡️ Смягчение последствий — полные стратегии защиты
• 💥 Анализ атак — понимание техник атак
• 📊 Технические детали — углублённый анализ уязвимости
• 📅 Хронология — временная шкала раскрытия уязвимости

🔗 Ключевые внешние ресурсы

• Официальная консультация Atlassian
• Чрезвычайная директива CISA
• Запись NIST NVD

Экстренное реагирование

⚠️ Если вы подозреваете активную эксплуатацию:

1. Немедленная изоляция

   root@kitploit:~

   # Block network access to Confluence
   iptables -A INPUT -p tcp --dport 8090 -j DROP
   
   # Stop Confluence service
   systemctl stop confluence
   

2. Сбор улик

   root@kitploit:~

   # Collect logs immediately
   cp -r /opt/atlassian/confluence/logs/ /tmp/incident-logs-$(date +%Y%m%d)/
   

3. Свяжитесь с командой безопасности и следуйте вашим процедурам реагирования на инциденты

Подробные процедуры экстренного реагирования см. в DETECTION_RESPONSE.md

Быстрая проверка уязвимости

Автоматическая проверка версии

Ручная проверка версии

1. Перейдите на страницу входа Confluence
2. Просмотрите исходный код страницы
3. Найдите «version», чтобы получить информацию о версии
4. Сравните с уязвимыми версиями, перечисленными выше

Последнее обновление: 2024-08-25
Ответственный за поддержку: Команда исследований безопасности
Статус: Активный мониторинг