CVE-2023-22527: inyección de plantillas en Confluence, comprobar y corregir
Última actualización:
Una inyección de plantillas en versiones sin actualizar de Confluence 8 Data Center y Server permite a un atacante sin autenticar ejecutar código en el servidor a través del endpoint /template/aui/text-inline.vm.
Atlassian la puntúa con 10.0 (CVSS 3.0) y NVD con 9.8 (CVSS 3.1). La explotación empezó a los pocos días del aviso de enero de 2024, y Atlassian no indica ninguna solución alternativa: la corrección es la actualización.
De un vistazo
- CVE
- CVE-2023-22527
- Software
- Atlassian Confluence Data Center y Server
- Versiones afectadas
- De 8.0.x a 8.4.x y de 8.5.0 a 8.5.3 (NVD también incluye Data Center 8.7.0)
- Corregida en
- 8.5.4 y 8.5.5 (LTS); solo Data Center: 8.6.0, 8.7.1, 8.7.2
- Puntuación CVSS
- 9.8 Crítica (NVD, CVSS 3.1) ·
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H - CISA Known Exploited Vulnerabilities
- Sí, añadida el 24 de enero de 2024
- Publicada por NVD
- 16 de enero de 2024
- Parche virtual de InfraFence
vp-cve-2023-22527(ModSecurity id 9920006)
Qué está afectado
Confluence Data Center y Server de 8.0.x a 8.4.x y de 8.5.0 a 8.5.3; NVD también incluye Data Center 8.7.0. Las versiones Long Term Support 7.19.x no están afectadas, ni tampoco Confluence Cloud. Las versiones corregidas de Atlassian son 8.5.4 y 8.5.5 (LTS) y, solo para Data Center, 8.6.0, 8.7.1 y 8.7.2; Atlassian recomienda la última versión.
Comprobar si un servidor es vulnerable
Mira la versión en el pie de cualquier página, o en Administration › General Configuration › System Information, y compárala con la lista de arriba.
Los intentos son peticiones al endpoint de la plantilla:
sudo grep -rhi 'text-inline.vm' --include='*access*' --exclude='*.gz' /var/log/apache2 /var/log/httpd 2>/dev/null | tail -20Corregirlo
- Haz una copia de seguridad de la base de datos y de la carpeta home de Confluence.
- Actualiza a la última versión de una rama con soporte, siguiendo la guía de actualización de Atlassian; en un clúster, todos los nodos.
- Después del reinicio, comprueba la versión que aparece en el pie de página.
Atención: No hay ninguna solución alternativa por configuración. Una instancia vulnerable que era accesible desde internet debe revisarse por si está comprometida (procesos desconocidos, archivos en las carpetas de instalación y home) después de la actualización.
Cómo la bloquea InfraFence mientras actualizas
El parche virtual para CVE-2023-22527 es una regla ModSecurity que bloquea toda petición cuya ruta, decodificada y normalizada, termine en /template/aui/text-inline.vm, sean cuales sean sus parámetros.
Nota: Solo protege Confluence detrás de Apache con ModSecurity en el mismo servidor. Las peticiones al puerto propio de Confluence no se ven: mantén ese puerto cerrado a internet.
Cómo se aplica el parche
- El agente anota qué puertos SSH y qué sitios responden.
- Escribe la regla (id de ModSecurity 9920006) entre sus propios marcadores en su archivo de ModSecurity, ejecuta
apachectl configtesty recarga Apache de forma ordenada. Si la prueba falla, vuelve a poner el archivo anterior. - Comprueba que SSH y los sitios siguen respondiendo, y quita el parche si no es así.
- Comprueba que ModSecurity bloquea de verdad con la regla, con una petición de prueba local inofensiva. Un ModSecurity en
DetectionOnlysolo registra: en ese caso el parche se quita y se notifica como ineficaz, nunca como aplicado.
Cada petición que bloquea el parche se notifica con CVE-2023-22527 (agente 1.0.37 o posterior): ves los intentos en la actividad del servidor y en la página Explotación del panel, así sabes que están probando la vulnerabilidad contra ti.
Atención: Un parche virtual bloquea la forma conocida del ataque en las peticiones que pasan por Apache en ese servidor. No sustituye a la actualización: instala la versión corregida y después quita el parche desde Actividad con Deshacer si ya no lo necesitas.
Los parches virtuales necesitan Apache con ModSecurity, el ajuste Permitir cambios en la configuración del servidor web y ningún panel de hosting ni herramienta de gestión de la configuración a cargo del servidor web; forman parte del plan Pro y de AutoMode. Los aplica una persona desde el análisis con IA, o AutoMode. Consulta Parches virtuales.
Fuentes
Los datos de esta página vienen de estas fuentes; consúltalas por si hay cambios.
Pruébalo gratis en 1 servidor
Starter es gratuito para un servidor, con protección completa y bloqueo automático. Sin tarjeta de crédito.
Instala el agente como root, con tu token en lugar de <TOKEN>:
curl -fsSL https://github.com/infrafence/infrafence-agent/releases/latest/download/install.sh | sudo bash -s -- --token <TOKEN>El token se crea en el panel, en Servidores › Añadir servidor.