CVE-2023-22515

Основная информация о CVE-2023-22515

• Затронутые продукты: Atlassian Confluence Data Center & Confluence Server.
• Дата публикации: 04/10/2023.
• Уровень: Critical (CVSS ~ 10.0).
• Тип уязвимости: Broken Access Control / Improper Authorization → позволяет атакующему создать учетную запись администратора удаленно.
• Ошибка находится в механизме настройки Confluence
• Влияние: Confluence Data Center & Server 8.0.0 → 8.5.1.

Реализация поиска уязвимости

• Сначала при установке Confluence есть шаг настройки сервера, например, подключение к БД, создание пользователя и т.д. Эти действия выполняются через веб-браузер по адресам URL /setup/. Последним шагом настройки будет /setup/setupadministrator.action.
• После завершения эти настройки не вызываются. Если мы попытаемся вызвать их, то получим сообщение об ошибке.

• Это исходит от одного из перехватчиков — SetupCheckInterceptor в struts.xml

• struts.xml — это центральный файл конфигурации для Struts.

• Он определяет, как Confluence сопоставляет URL → класс Action → шаблон представления.

• А также объявляет перехватчики (классы, которые обрабатывают запрос до/после выполнения действия).

В SetupCheckInterceptor вызывается BootstrapUtils.getBootstrapManager().isSetupComplete()

public String intercept(ActionInvocation actionInvocation) throws Exception {
    if (BootstrapUtils.getBootstrapManager().isSetupComplete() && ContainerManager.isContainerSetup())
        return "alreadysetup"; 
    return actionInvocation.invoke();
}

Объяснение

• BootstrapUtils.getBootstrapManager().isSetupComplete()
  → Проверяет, завершил ли Confluence процесс настройки (через мастер, ввод лицензии, создание пользователя-администратора).
• ContainerManager.isContainerSetup()
  → Проверяет, полностью ли инициализирован контейнер Spring IoC.
• Если оба условия истинны:
  → Это означает, что система полностью настроена → перехватчик немедленно возвращает "alreadysetup".
  → Не позволяет выполнить действие (обычно это действия настройки, такие как SetupDatabaseAction, SetupLicenseAction и т.д.).
• Если настройка не завершена:
  → Вызывается actionInvocation.invoke() — то есть продолжается выполнение запрошенного пользователем действия.

getBootstrapManager() → обычно возвращает DefaultAtlassianBootstrapManager, который управляет всей основной информацией конфигурации во время настройки.

• В DefaultAtlassianBootstrapManager.isSetupComplete мы видим, что вызывается метод конфигурации приложения isSetupComplete, чтобы проверить, завершена ли настройка.

=> Если мы сделаем isSetupComplete = False, то SetupCheckInterceptor не вернет “alreadysetup”, и /setup/setupadministrator.action станет доступен.

Ниже у нас есть ServerInfoAction

• ServerInfoAction = публичное действие в Confluence → позволяет любому пользователю вызвать его без входа в систему и без CSRF-токена. При выполнении оно возвращает "success" → сопоставляется с шаблоном, отображающим информацию о сервере.

• Он наследуется от ConfluenceActionSupport

• В ConfluenceActionSupport мы видим, что getBootstrapStatusProvider возвращает BootstrapStatusProviderImpl — экземпляр, который мы ищем.

• В BootstrapStatusProviderImpl есть метод getApplicationConfig, который возвращает конфигурацию приложения.

• Наконец, внутри ApplicationConfig видно, что он реализует проверку setSetupComplete.

• Объединяя вышесказанное, мы можем вывести цепочку методов для установки setSetupComplete = false

getBootstrapStatusProvider(). getApplicationConfig (). setSetupComplete ( false );

XWorks2 позволяет нам выполнять такую цепочку геттеров/сеттеров, и мы можем сконструировать HTTP-параметр для реализации этой цепочки вызовов методов, используя нотацию, требуемую XWorks2.

bootstrapStatusProvider.applicationConfig.setupComplete=false

Мы воспользуемся /server-info.action — это URL в Confluence, обрабатываемый ServerInfoAction, так как это публичная конечная точка, не требующая входа в систему.

/server-info.action?bootstrapStatusProvider.applicationConfig.setupComplete=false

Давайте проверим отладку:

• setupComplete (параметр, передаваемый в метод)
  → false
  То есть метод вызывается с параметром false.
• this.setupComplete (переменная экземпляра объекта ApplicationConfig)
  → true (перед присваиванием).
• После выполнения команды → this.setupComplete станет false.

• После завершения вышеуказанного шага давайте попробуем снова зайти на эндпоинт /setup/setupadministrator.action — успех.

• После создания войдите в систему и проверьте права.