CVE-2022-26134: OGNL-Injection in Confluence, prüfen und beheben
Zuletzt aktualisiert:
Eine OGNL-Injection in Confluence Server und Data Center erlaubt jedem, der die Website erreicht, darauf Code auszuführen, ohne Anmeldung: Der Angreifer setzt einen OGNL-Ausdruck in den URL-Pfad, wie in /${…}/, und Confluence wertet ihn aus.
Sie wurde als Zero-Day ausgenutzt, bevor Atlassian am 2. Juni 2022 das Advisory veröffentlichte, und die CISA hat sie noch am selben Tag in den KEV aufgenommen. Confluence Cloud ist nicht betroffen.
Auf einen Blick
- CVE
- CVE-2022-26134
- Software
- Atlassian Confluence Server und Data Center
- Betroffene Versionen
- Ab 1.3.0 jede Version vor dem behobenen Release ihrer Linie
- Behoben in
- 7.4.17, 7.13.7, 7.14.3, 7.15.2, 7.16.4, 7.17.4, 7.18.1
- CVSS-Score
- 9.8 Kritisch (NVD, CVSS 3.1) ·
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H - CISA Known Exploited Vulnerabilities
- Ja, aufgenommen am 2. Juni 2022
- Von der NVD veröffentlicht
- 3. Juni 2022
- Virtueller Patch von InfraFence
vp-cve-2022-26134(ModSecurity id 9920005)
Was betroffen ist
Jede Version von Confluence Server und Data Center ab 1.3.0 vor dem behobenen Release ihrer Linie: 7.4.17, 7.13.7, 7.14.3, 7.15.2, 7.16.4, 7.17.4 und 7.18.1. Versionen, die damals keinen Support mehr hatten, bekamen keinen Fix: Für sie ist ein Upgrade auf eine unterstützte Linie nötig.
Prüfen, ob ein Server verwundbar ist
Confluence zeigt seine Version in der Fußzeile jeder Seite und unter Administration › General Configuration › System Information. Vergleiche sie mit den behobenen Releases oben.
Versuche tragen ${ im Pfad, oft kodiert als %24%7B. Durchsuche die Access-Logs des Proxys vor Confluence und die eigenen Access-Logs von Confluence in seinem Ordner logs:
sudo grep -rhiE '%24%7B|\$\{' --include='*access*' --exclude='*.gz' /var/log/apache2 /var/log/httpd 2>/dev/null | tail -20Beheben
- Aktualisiere auf ein behobenes Release, am besten das neueste Long-Term-Support-Release einer unterstützten Linie, nach der Upgrade-Anleitung von Atlassian (sichere vorher die Datenbank und den Home-Ordner).
- Wenn du nicht sofort aktualisieren kannst: Atlassian hat einen vorübergehenden Workaround veröffentlicht, der die
xwork-JAR-Dateien (und bei älteren Versionenwebwork) ersetzt. Folge den Schritten für deine Version im unten verlinkten Advisory, auf jedem Knoten eines Clusters. - Bis eines von beiden erledigt ist, halte die Instanz vom Internet fern: Die CISA hat Behörden aufgefordert, Verkehr zu und von ungepatchten Instanzen zu blockieren.
Achtung: Ein Server, der vor dem Fix erreichbar war, kann bereits kompromittiert sein: Suche nach unbekannten Prozessen und Web-Shells in den Confluence-Ordnern und prüfe die Logs ab Ende Mai 2022.
Wie InfraFence sie blockiert, während du aktualisierst
Der virtuelle Patch für CVE-2022-26134 ist eine ModSecurity-Regel auf dem dekodierten Pfad der Anfrage: Die Regel blockiert jeden Pfad, der ${ enthält. Confluence-URLs verwenden diese Folge im Pfad nicht; der Query-String wird nicht geprüft.
Hinweis: Er schützt Confluence nur, wenn die Anfragen über Apache mit ModSecurity auf demselben Server laufen, als Reverse Proxy. Direkter Zugriff auf den eigenen Port von Confluence umgeht ihn: Schließe diesen Port zum Internet.
Wie der Patch angewendet wird
- Der Agent notiert, welche SSH-Ports und Websites antworten.
- Er schreibt die Regel (ModSecurity-ID 9920005) zwischen seine eigenen Markierungen in seiner ModSecurity-Datei, führt
apachectl configtestaus und lädt Apache sanft neu. Schlägt der Test fehl, wird die vorherige Datei zurückgespielt. - Er prüft, ob SSH und die Websites weiterhin antworten, und entfernt den Patch, wenn nicht.
- Er prüft mit einer harmlosen lokalen Testanfrage, ob ModSecurity mit der Regel wirklich blockiert. Ein ModSecurity im Modus
DetectionOnlyprotokolliert nur: Der Patch wird dann entfernt und als unwirksam gemeldet, nie als angewendet.
Jede Anfrage, die der Patch blockiert, wird mit CVE-2022-26134 gemeldet (Agent 1.0.37 oder neuer): Du siehst die Versuche in der Aktivität des Servers und auf der Seite Ausnutzung im Dashboard und weißt so, dass die Schwachstelle gegen dich ausprobiert wird.
Achtung: Ein virtueller Patch blockiert die bekannte Form des Angriffs bei den Anfragen, die auf diesem Server über Apache laufen. Er ersetzt das Update nicht: Installiere die behobene Version und entferne den Patch dann unter Aktivität mit Rückgängig, wenn du ihn nicht mehr brauchst.
Virtuelle Patches brauchen Apache mit ModSecurity, die Einstellung Änderungen an der Webserver-Konfiguration erlauben und kein Hosting-Panel oder Konfigurationsmanagement-Tool, das den Webserver verwaltet; sie gehören zum Plan Pro und zu AutoMode. Ein Mensch wendet sie aus der KI-Analyse an, oder AutoMode tut es. Siehe Virtuelle Patches.
Quellen
Die Fakten auf dieser Seite stammen aus diesen Quellen; prüfe sie auf Änderungen.
Kostenlos auf 1 Server testen
Starter ist für einen Server kostenlos, mit vollem Schutz und automatischen Sperren. Ohne Kreditkarte.
Installiere den Agenten als root, mit deinem Token anstelle von <TOKEN>:
curl -fsSL https://github.com/infrafence/infrafence-agent/releases/latest/download/install.sh | sudo bash -s -- --token <TOKEN>Das Token erstellst du im Dashboard unter Server › Server hinzufügen.