arkha-corvus/letsdefend-soc235-atlassian-confluence-broken-access-control-0-day-cve-2023-22515-eventid-197I was presented with a high-severity alert indicating a potential exploit attempt of CVE-2023-22515, a zero-day vulnerability in Atlassian Confluence. The alert showed a suspicious GET request from an external IP targeting the Confluence server, suggesting an attempt to gain unauthorised admin access.
我收到了一条高严重性告警，提示可能存在针对 CVE-2023-22515（Atlassian Confluence 中的一个零日漏洞）的利用尝试。告警显示，一个可疑的 GET 请求来自外部 IP，目标指向 Confluence 服务器，表明攻击者试图获取未授权的管理员访问权限。
该漏洞允许攻击者向 Confluence 实例发送精心构造的请求，从而静默创建管理员账户，立即获得未授权控制。利用过程通常涉及从外部 IP 向易受攻击的端点发送一个简单的 GET 请求，攻击者借此获得初始访问权限，进而能够安装后门、横向移动或窃取数据。Atlassian 将其归类为严重级别，因为该漏洞易于滥用，且可能导致系统完全沦陷。建议采取的行动包括：应用供应商补丁、隔离受影响的服务器、审查日志中可疑的 GET 请求和新创建的管理员账户，以及轮换 Confluence 使用的凭据和密钥。
作为调查的一部分，我使用 VirusTotal 检查了源 IP 地址 43[.]130[.]1[.]222 的信誉。分析确认该 IP 地址被标记为恶意。
为了验证网络攻击的存在，我还以 43[.]130[.]1[.]222 为源 IP 地址分析了日志，并识别出三条相关日志条目。
在分析日志条目时，我观察到请求 /serverinfo.actionbootstrapStatusProvider.applicationConfig.setupComplete=false 返回了 200 状态码。该响应表明请求已成功处理，暗示攻击已成功执行。
根据调查结果，该流量已被识别为恶意流量。
基于调查和可用选项，最合适的攻击向量分类为“其他”。观察到的恶意流量与任何预定义类别（如命令注入、IDOR、LFI/RFI、SQL 注入或 XSS）均不匹配。
在同时使用源和目标 IP 地址审查邮件安全日志后，我没有发现任何证据表明这是一次计划内的测试。
IP 地址 43.130.1.222 源自外部组织，是一个面向公网的端点；而 172.16.17.234 则分配给公司内部网络中的一台设备。这表明该连接源自外部互联网，并指向公司内部网络。
在调查初期阶段，明显看出设备配置允许攻击进行，未能阻止或缓解任何恶意活动。此外，日志分析显示一个返回 200 状态码的请求，确认该请求被成功处理，进一步表明攻击已成功执行。为防止进一步危害，我主动对受影响设备进行了隔离。
鉴于攻击已成功执行，我主动将事件上报至 Tier 2 进行更深入的调查。Tier 2 分析师具备更深厚的专业知识和更先进的工具，能够执行详细的威胁分析、评估潜在的横向移动，并实施适当的遏制和修复措施。这一上报对于确保全面理解事件并有效缓解风险、降低进一步危害的可能性至关重要。
调查已成功完成，已采取相关行动来减轻影响并保护环境。
感谢您花时间阅读本文。欢迎随时提供反馈！
