CVE-2023-22527 : injection de template dans Confluence, vérifier et corriger
Dernière mise à jour:
Une injection de template dans les versions non à jour de Confluence 8 Data Center et Server permet à un attaquant non authentifié d'exécuter du code sur le serveur via l'endpoint /template/aui/text-inline.vm.
Atlassian la note 10.0 (CVSS 3.0) et le NVD 9.8 (CVSS 3.1). L'exploitation a commencé quelques jours après le bulletin de janvier 2024, et Atlassian n'indique aucun contournement : la correction, c'est la mise à niveau.
En bref
- CVE
- CVE-2023-22527
- Logiciel
- Atlassian Confluence Data Center et Server
- Versions concernées
- 8.0.x à 8.4.x et 8.5.0 à 8.5.3 (le NVD liste aussi Data Center 8.7.0)
- Corrigé dans
- 8.5.4 et 8.5.5 (LTS) ; Data Center uniquement : 8.6.0, 8.7.1, 8.7.2
- Score CVSS
- 9.8 Critique (NVD, CVSS 3.1) ·
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H - CISA Known Exploited Vulnerabilities
- Oui, ajoutée le 24 janvier 2024
- Publiée par le NVD
- 16 janvier 2024
- Correctif virtuel InfraFence
vp-cve-2023-22527(ModSecurity id 9920006)
Ce qui est concerné
Confluence Data Center et Server 8.0.x à 8.4.x et 8.5.0 à 8.5.3 ; le NVD liste aussi Data Center 8.7.0. Les versions Long Term Support 7.19.x ne sont pas concernées, pas plus que Confluence Cloud. Les versions corrigées d'Atlassian sont 8.5.4 et 8.5.5 (LTS) et, pour Data Center uniquement, 8.6.0, 8.7.1 et 8.7.2 ; Atlassian recommande la dernière version.
Vérifier si un serveur est vulnérable
Lisez la version dans le pied de n'importe quelle page, ou sous Administration › General Configuration › System Information, et comparez-la avec la liste ci-dessus.
Les tentatives sont des requêtes vers l'endpoint de template :
sudo grep -rhi 'text-inline.vm' --include='*access*' --exclude='*.gz' /var/log/apache2 /var/log/httpd 2>/dev/null | tail -20Corriger
- Sauvegardez la base de données et le dossier home de Confluence.
- Passez à la dernière version d'une branche prise en charge, en suivant le guide de mise à niveau d'Atlassian ; sur un cluster, chaque nœud.
- Vérifiez la version affichée dans le pied de page après le redémarrage.
Attention: Il n'existe aucun contournement par configuration. Une instance vulnérable qui était joignable depuis internet doit être examinée pour détecter une compromission (processus inconnus, fichiers dans les dossiers d'installation et home) après la mise à niveau.
Comment InfraFence la bloque pendant que vous mettez à jour
Le correctif virtuel pour CVE-2023-22527 est une règle ModSecurity qui bloque toute requête dont le chemin, décodé et normalisé, se termine par /template/aui/text-inline.vm, quels que soient ses paramètres.
Remarque: Il ne protège Confluence que derrière Apache avec ModSecurity sur le même serveur. Les requêtes vers le port de Confluence lui-même ne sont pas vues : gardez ce port fermé à internet.
Comment le correctif est appliqué
- L'agent note quels ports SSH et quels sites répondent.
- Il écrit la règle (identifiant ModSecurity 9920006) entre ses propres marqueurs dans son fichier ModSecurity, lance
apachectl configtestet recharge Apache en douceur. Un test en échec remet le fichier précédent en place. - Il vérifie que SSH et les sites répondent toujours, et retire le correctif sinon.
- Il vérifie que ModSecurity bloque réellement avec la règle, au moyen d'une requête de sonde locale inoffensive. Un ModSecurity en
DetectionOnlyse contente de journaliser : le correctif est alors retiré et signalé comme inefficace, jamais comme appliqué.
Chaque requête bloquée par le correctif est signalée avec CVE-2023-22527 (agent 1.0.37 ou ultérieur) : vous voyez les tentatives dans l'activité du serveur et sur la page Exploitation du tableau de bord, et vous savez ainsi que la vulnérabilité est tentée contre vous.
Attention: Un correctif virtuel bloque la forme connue de l'attaque sur les requêtes qui passent par Apache sur ce serveur. Il ne remplace pas la mise à jour : installez la version corrigée, puis retirez le correctif depuis Activité avec Annuler si vous n'en avez plus besoin.
Les correctifs virtuels nécessitent Apache avec ModSecurity, le réglage Autoriser les modifications de la configuration du serveur web, et aucun panneau d'hébergement ni outil de gestion de configuration aux commandes du serveur web ; ils font partie du plan Pro et d'AutoMode. Une personne les applique depuis l'analyse IA, ou AutoMode le fait. Voir Correctifs virtuels.
Sources
Les faits de cette page viennent de ces sources ; consultez-les pour les mises à jour.
Essayez gratuitement sur 1 serveur
Starter est gratuit pour un serveur, avec la protection complète et le blocage automatique. Sans carte bancaire.
Installez l'agent en root, avec votre jeton à la place de <TOKEN> :
curl -fsSL https://github.com/infrafence/infrafence-agent/releases/latest/download/install.sh | sudo bash -s -- --token <TOKEN>Le jeton se crée dans le tableau de bord, dans Serveurs › Ajouter un serveur.