CVE-2023-22527: Template-Injection in Confluence, prüfen und beheben
Zuletzt aktualisiert:
Eine Template-Injection in veralteten Versionen von Confluence 8 Data Center und Server erlaubt einem nicht angemeldeten Angreifer, über den Endpunkt /template/aui/text-inline.vm Code auf dem Server auszuführen.
Atlassian bewertet sie mit 10.0 (CVSS 3.0), die NVD mit 9.8 (CVSS 3.1). Die Ausnutzung begann wenige Tage nach dem Advisory vom Januar 2024, und Atlassian nennt keinen Workaround: Die Lösung ist das Upgrade.
Auf einen Blick
- CVE
- CVE-2023-22527
- Software
- Atlassian Confluence Data Center und Server
- Betroffene Versionen
- 8.0.x bis 8.4.x und 8.5.0 bis 8.5.3 (die NVD listet auch Data Center 8.7.0)
- Behoben in
- 8.5.4 und 8.5.5 (LTS); nur Data Center: 8.6.0, 8.7.1, 8.7.2
- CVSS-Score
- 9.8 Kritisch (NVD, CVSS 3.1) ·
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H - CISA Known Exploited Vulnerabilities
- Ja, aufgenommen am 24. Januar 2024
- Von der NVD veröffentlicht
- 16. Januar 2024
- Virtueller Patch von InfraFence
vp-cve-2023-22527(ModSecurity id 9920006)
Was betroffen ist
Confluence Data Center und Server 8.0.x bis 8.4.x und 8.5.0 bis 8.5.3; die NVD listet auch Data Center 8.7.0. Die Long-Term-Support-Versionen 7.19.x sind nicht betroffen, ebenso wenig Confluence Cloud. Die behobenen Releases von Atlassian sind 8.5.4 und 8.5.5 (LTS) und, nur für Data Center, 8.6.0, 8.7.1 und 8.7.2; Atlassian empfiehlt die neueste Version.
Prüfen, ob ein Server verwundbar ist
Lies die Version in der Fußzeile einer beliebigen Seite oder unter Administration › General Configuration › System Information ab und vergleiche sie mit der Liste oben.
Versuche sind Anfragen an den Template-Endpunkt:
sudo grep -rhi 'text-inline.vm' --include='*access*' --exclude='*.gz' /var/log/apache2 /var/log/httpd 2>/dev/null | tail -20Beheben
- Sichere die Datenbank und den Home-Ordner von Confluence.
- Aktualisiere auf das neueste Release einer unterstützten Linie, nach der Upgrade-Anleitung von Atlassian; in einem Cluster jeden Knoten.
- Prüfe nach dem Neustart die Version in der Fußzeile.
Achtung: Es gibt keinen Workaround über die Konfiguration. Eine verwundbare Instanz, die aus dem Internet erreichbar war, solltest du nach dem Upgrade auf eine Kompromittierung prüfen (unbekannte Prozesse, Dateien in den Installations- und Home-Ordnern).
Wie InfraFence sie blockiert, während du aktualisierst
Der virtuelle Patch für CVE-2023-22527 ist eine ModSecurity-Regel, die jede Anfrage blockiert, deren dekodierter, normalisierter Pfad auf /template/aui/text-inline.vm endet, unabhängig von ihren Parametern.
Hinweis: Er schützt Confluence nur hinter Apache mit ModSecurity auf demselben Server. Anfragen an den eigenen Port von Confluence sieht er nicht: Halte diesen Port zum Internet geschlossen.
Wie der Patch angewendet wird
- Der Agent notiert, welche SSH-Ports und Websites antworten.
- Er schreibt die Regel (ModSecurity-ID 9920006) zwischen seine eigenen Markierungen in seiner ModSecurity-Datei, führt
apachectl configtestaus und lädt Apache sanft neu. Schlägt der Test fehl, wird die vorherige Datei zurückgespielt. - Er prüft, ob SSH und die Websites weiterhin antworten, und entfernt den Patch, wenn nicht.
- Er prüft mit einer harmlosen lokalen Testanfrage, ob ModSecurity mit der Regel wirklich blockiert. Ein ModSecurity im Modus
DetectionOnlyprotokolliert nur: Der Patch wird dann entfernt und als unwirksam gemeldet, nie als angewendet.
Jede Anfrage, die der Patch blockiert, wird mit CVE-2023-22527 gemeldet (Agent 1.0.37 oder neuer): Du siehst die Versuche in der Aktivität des Servers und auf der Seite Ausnutzung im Dashboard und weißt so, dass die Schwachstelle gegen dich ausprobiert wird.
Achtung: Ein virtueller Patch blockiert die bekannte Form des Angriffs bei den Anfragen, die auf diesem Server über Apache laufen. Er ersetzt das Update nicht: Installiere die behobene Version und entferne den Patch dann unter Aktivität mit Rückgängig, wenn du ihn nicht mehr brauchst.
Virtuelle Patches brauchen Apache mit ModSecurity, die Einstellung Änderungen an der Webserver-Konfiguration erlauben und kein Hosting-Panel oder Konfigurationsmanagement-Tool, das den Webserver verwaltet; sie gehören zum Plan Pro und zu AutoMode. Ein Mensch wendet sie aus der KI-Analyse an, oder AutoMode tut es. Siehe Virtuelle Patches.
Quellen
Die Fakten auf dieser Seite stammen aus diesen Quellen; prüfe sie auf Änderungen.
Kostenlos auf 1 Server testen
Starter ist für einen Server kostenlos, mit vollem Schutz und automatischen Sperren. Ohne Kreditkarte.
Installiere den Agenten als root, mit deinem Token anstelle von <TOKEN>:
curl -fsSL https://github.com/infrafence/infrafence-agent/releases/latest/download/install.sh | sudo bash -s -- --token <TOKEN>Das Token erstellst du im Dashboard unter Server › Server hinzufügen.