CVE-2022-26134: injection OGNL in Confluence, verifica e correzione
Ultimo aggiornamento:
Un'injection OGNL in Confluence Server e Data Center permette a chiunque raggiunga il sito di eseguirvi codice, senza login: l'attaccante mette un'espressione OGNL nel percorso dell'URL, come in /${…}/, e Confluence la valuta.
È stata sfruttata come zero-day prima che Atlassian pubblicasse l'advisory il 2 giugno 2022, e CISA l'ha aggiunta a KEV lo stesso giorno. Confluence Cloud non è colpito.
In sintesi
- CVE
- CVE-2022-26134
- Software
- Atlassian Confluence Server e Data Center
- Versioni colpite
- Da 1.3.0, ogni versione precedente alla release corretta della propria linea
- Corretta in
- 7.4.17, 7.13.7, 7.14.3, 7.15.2, 7.16.4, 7.17.4, 7.18.1
- Punteggio CVSS
- 9.8 Critica (NVD, CVSS 3.1) ·
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H - CISA Known Exploited Vulnerabilities
- Sì, aggiunta il 2 giugno 2022
- Pubblicata da NVD
- 3 giugno 2022
- Patch virtuale InfraFence
vp-cve-2022-26134(ModSecurity id 9920005)
Cosa è colpito
Ogni versione di Confluence Server e Data Center da 1.3.0 precedente alla release corretta della propria linea: 7.4.17, 7.13.7, 7.14.3, 7.15.2, 7.16.4, 7.17.4 e 7.18.1. Le versioni già fuori supporto all'epoca non hanno ricevuto correzioni: vanno aggiornate a una linea supportata.
Verificare se un server è vulnerabile
Confluence mostra la sua versione nel piè di pagina di ogni pagina e in Administration › General Configuration › System Information. Confrontala con le release corrette qui sopra.
I tentativi hanno ${ nel percorso, spesso codificato come %24%7B. Cerca nei log di accesso del proxy davanti a Confluence e nei log di accesso di Confluence stesso, nella sua cartella logs:
sudo grep -rhiE '%24%7B|\$\{' --include='*access*' --exclude='*.gz' /var/log/apache2 /var/log/httpd 2>/dev/null | tail -20Correggere
- Aggiorna a una release corretta, meglio l'ultima release Long Term Support di una linea supportata, seguendo la guida all'aggiornamento di Atlassian (prima fai il backup del database e della cartella home).
- Se non puoi aggiornare subito, Atlassian ha pubblicato un workaround temporaneo che sostituisce i file jar
xwork(e per le versioni più vecchiewebwork): segui i passi per la tua versione nell'advisory linkato qui sotto, su ogni nodo di un cluster. - Finché non hai fatto una delle due cose, tieni l'istanza fuori da internet: CISA ha chiesto alle agenzie di bloccare il traffico da e verso le istanze non corrette.
Attenzione: Un server raggiungibile prima della correzione potrebbe essere già compromesso: cerca processi sconosciuti e web shell nelle cartelle di Confluence, e controlla i log dalla fine di maggio 2022 in poi.
Come InfraFence la blocca mentre aggiorni
La patch virtuale per CVE-2022-26134 è una regola ModSecurity sul percorso decodificato della richiesta: blocca qualsiasi percorso che contiene ${. Gli URL di Confluence non usano questa sequenza nel percorso; la query string non viene controllata.
Nota: Protegge Confluence solo quando le richieste passano da Apache con ModSecurity sullo stesso server, come reverse proxy. L'accesso diretto alla porta di Confluence la aggira: chiudi quella porta verso internet.
Come viene applicata la patch
- L'agente annota quali porte SSH e quali siti rispondono.
- Scrive la regola (id ModSecurity 9920005) tra i propri marcatori nel suo file ModSecurity, esegue
apachectl configteste ricarica Apache in modo graceful. Se il test fallisce, rimette il file precedente. - Controlla che SSH e i siti rispondano ancora e, se non è così, rimuove la patch.
- Controlla che ModSecurity blocchi davvero con la regola, con una richiesta di prova locale innocua. Un ModSecurity in
DetectionOnlysi limita a registrare: la patch viene allora rimossa e segnalata come inefficace, mai come applicata.
Ogni richiesta bloccata dalla patch viene segnalata con CVE-2022-26134 (agente 1.0.37 o successivo): vedi i tentativi nell'attività del server e nella pagina Sfruttamento della dashboard, quindi sai che qualcuno sta provando la vulnerabilità contro di te.
Attenzione: Una patch virtuale blocca la forma nota dell'attacco nelle richieste che passano da Apache su quel server. Non sostituisce l'aggiornamento: installa la versione corretta, poi rimuovi la patch da Attività con Annulla se non ti serve più.
Le patch virtuali richiedono Apache con ModSecurity, l'impostazione Consenti modifiche alla configurazione del web server e nessun pannello di hosting o strumento di configuration management che gestisca il web server; fanno parte del piano Pro e di AutoMode. Le applica una persona a partire dall'analisi AI, oppure AutoMode. Vedi Patch virtuali.
Fonti
I dati di questa pagina vengono da queste fonti; controllale per eventuali aggiornamenti.
Provalo gratis su 1 server
Starter è gratuito per un server, con protezione completa e blocco automatico. Senza carta di credito.
Installa l'agent come root, con il tuo token al posto di <TOKEN>:
curl -fsSL https://github.com/infrafence/infrafence-agent/releases/latest/download/install.sh | sudo bash -s -- --token <TOKEN>Il token si crea nella dashboard, in Server › Aggiungi server.