CVE-2022-26134: inyección OGNL en Confluence, comprobar y corregir
Última actualización:
Una inyección OGNL en Confluence Server y Data Center permite a cualquiera que llegue al sitio ejecutar código en él, sin iniciar sesión: el atacante pone una expresión OGNL en la ruta de la URL, como en /${…}/, y Confluence la evalúa.
Se explotó como zero-day antes de que Atlassian publicara el aviso el 2 de junio de 2022, y CISA la añadió a KEV ese mismo día. Confluence Cloud no está afectado.
De un vistazo
- CVE
- CVE-2022-26134
- Software
- Atlassian Confluence Server y Data Center
- Versiones afectadas
- Desde 1.3.0, todas las versiones anteriores a la versión corregida de su rama
- Corregida en
- 7.4.17, 7.13.7, 7.14.3, 7.15.2, 7.16.4, 7.17.4, 7.18.1
- Puntuación CVSS
- 9.8 Crítica (NVD, CVSS 3.1) ·
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H - CISA Known Exploited Vulnerabilities
- Sí, añadida el 2 de junio de 2022
- Publicada por NVD
- 3 de junio de 2022
- Parche virtual de InfraFence
vp-cve-2022-26134(ModSecurity id 9920005)
Qué está afectado
Todas las versiones de Confluence Server y Data Center desde 1.3.0 anteriores a la versión corregida de su rama: 7.4.17, 7.13.7, 7.14.3, 7.15.2, 7.16.4, 7.17.4 y 7.18.1. Las versiones que ya no tenían soporte en ese momento no recibieron corrección: necesitan actualizarse a una rama con soporte.
Comprobar si un servidor es vulnerable
Confluence muestra su versión en el pie de cada página y en Administration › General Configuration › System Information. Compárala con las versiones corregidas de arriba.
Los intentos llevan ${ en la ruta, a menudo codificado como %24%7B. Busca en los logs de acceso del proxy que está delante de Confluence y en los propios logs de acceso de Confluence, en su carpeta logs:
sudo grep -rhiE '%24%7B|\$\{' --include='*access*' --exclude='*.gz' /var/log/apache2 /var/log/httpd 2>/dev/null | tail -20Corregirlo
- Actualiza a una versión corregida, mejor la última versión Long Term Support de una rama con soporte, siguiendo la guía de actualización de Atlassian (antes haz una copia de seguridad de la base de datos y de la carpeta home).
- Si no puedes actualizar enseguida, Atlassian publicó una solución temporal que sustituye los archivos jar
xwork(y en versiones más antiguaswebwork): sigue los pasos para tu versión en el aviso enlazado abajo, en cada nodo de un clúster. - Hasta que hayas hecho una de las dos cosas, mantén la instancia fuera de internet: CISA pidió a las agencias que bloquearan el tráfico desde y hacia las instancias sin parchear.
Atención: Un servidor que era accesible antes de la corrección puede estar ya comprometido: busca procesos desconocidos y web shells en las carpetas de Confluence, y revisa los logs desde finales de mayo de 2022.
Cómo la bloquea InfraFence mientras actualizas
El parche virtual para CVE-2022-26134 es una regla ModSecurity sobre la ruta decodificada de la petición: bloquea cualquier ruta que contenga ${. Las URL de Confluence no usan esa secuencia en la ruta; la query string no se comprueba.
Nota: Solo protege Confluence cuando las peticiones pasan por Apache con ModSecurity en el mismo servidor, como proxy inverso. El acceso directo al puerto propio de Confluence lo esquiva: cierra ese puerto a internet.
Cómo se aplica el parche
- El agente anota qué puertos SSH y qué sitios responden.
- Escribe la regla (id de ModSecurity 9920005) entre sus propios marcadores en su archivo de ModSecurity, ejecuta
apachectl configtesty recarga Apache de forma ordenada. Si la prueba falla, vuelve a poner el archivo anterior. - Comprueba que SSH y los sitios siguen respondiendo, y quita el parche si no es así.
- Comprueba que ModSecurity bloquea de verdad con la regla, con una petición de prueba local inofensiva. Un ModSecurity en
DetectionOnlysolo registra: en ese caso el parche se quita y se notifica como ineficaz, nunca como aplicado.
Cada petición que bloquea el parche se notifica con CVE-2022-26134 (agente 1.0.37 o posterior): ves los intentos en la actividad del servidor y en la página Explotación del panel, así sabes que están probando la vulnerabilidad contra ti.
Atención: Un parche virtual bloquea la forma conocida del ataque en las peticiones que pasan por Apache en ese servidor. No sustituye a la actualización: instala la versión corregida y después quita el parche desde Actividad con Deshacer si ya no lo necesitas.
Los parches virtuales necesitan Apache con ModSecurity, el ajuste Permitir cambios en la configuración del servidor web y ningún panel de hosting ni herramienta de gestión de la configuración a cargo del servidor web; forman parte del plan Pro y de AutoMode. Los aplica una persona desde el análisis con IA, o AutoMode. Consulta Parches virtuales.
Fuentes
Los datos de esta página vienen de estas fuentes; consúltalas por si hay cambios.
Pruébalo gratis en 1 servidor
Starter es gratuito para un servidor, con protección completa y bloqueo automático. Sin tarjeta de crédito.
Instala el agente como root, con tu token en lugar de <TOKEN>:
curl -fsSL https://github.com/infrafence/infrafence-agent/releases/latest/download/install.sh | sudo bash -s -- --token <TOKEN>El token se crea en el panel, en Servidores › Añadir servidor.