CVE-2023-22527: template injection in Confluence, verifica e correzione
Ultimo aggiornamento:
Una template injection nelle versioni non aggiornate di Confluence 8 Data Center e Server permette a un attaccante non autenticato di eseguire codice sul server tramite l'endpoint /template/aui/text-inline.vm.
Atlassian le assegna 10.0 (CVSS 3.0) e NVD 9.8 (CVSS 3.1). Lo sfruttamento è iniziato pochi giorni dopo l'advisory di gennaio 2024, e Atlassian non indica alcun workaround: la correzione è l'aggiornamento.
In sintesi
- CVE
- CVE-2023-22527
- Software
- Atlassian Confluence Data Center e Server
- Versioni colpite
- Da 8.0.x a 8.4.x e da 8.5.0 a 8.5.3 (NVD elenca anche Data Center 8.7.0)
- Corretta in
- 8.5.4 e 8.5.5 (LTS); solo Data Center: 8.6.0, 8.7.1, 8.7.2
- Punteggio CVSS
- 9.8 Critica (NVD, CVSS 3.1) ·
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H - CISA Known Exploited Vulnerabilities
- Sì, aggiunta il 24 gennaio 2024
- Pubblicata da NVD
- 16 gennaio 2024
- Patch virtuale InfraFence
vp-cve-2023-22527(ModSecurity id 9920006)
Cosa è colpito
Confluence Data Center e Server da 8.0.x a 8.4.x e da 8.5.0 a 8.5.3; NVD elenca anche Data Center 8.7.0. Le versioni Long Term Support 7.19.x non sono colpite, e nemmeno Confluence Cloud. Le release corrette di Atlassian sono 8.5.4 e 8.5.5 (LTS) e, solo per Data Center, 8.6.0, 8.7.1 e 8.7.2; Atlassian consiglia l'ultima versione.
Verificare se un server è vulnerabile
Leggi la versione nel piè di pagina di qualsiasi pagina, o in Administration › General Configuration › System Information, e confrontala con l'elenco qui sopra.
I tentativi sono richieste all'endpoint del template:
sudo grep -rhi 'text-inline.vm' --include='*access*' --exclude='*.gz' /var/log/apache2 /var/log/httpd 2>/dev/null | tail -20Correggere
- Fai il backup del database e della cartella home di Confluence.
- Aggiorna all'ultima release di una linea supportata, seguendo la guida all'aggiornamento di Atlassian; su un cluster, ogni nodo.
- Dopo il riavvio controlla la versione mostrata nel piè di pagina.
Attenzione: Non esiste un workaround di configurazione. Un'istanza vulnerabile che era raggiungibile da internet va controllata per eventuali compromissioni (processi sconosciuti, file nelle cartelle di installazione e home) dopo l'aggiornamento.
Come InfraFence la blocca mentre aggiorni
La patch virtuale per CVE-2023-22527 è una regola ModSecurity che blocca ogni richiesta il cui percorso, decodificato e normalizzato, finisce con /template/aui/text-inline.vm, qualunque siano i parametri.
Nota: Protegge Confluence solo dietro Apache con ModSecurity sullo stesso server. Le richieste alla porta di Confluence non vengono viste: tieni quella porta chiusa verso internet.
Come viene applicata la patch
- L'agente annota quali porte SSH e quali siti rispondono.
- Scrive la regola (id ModSecurity 9920006) tra i propri marcatori nel suo file ModSecurity, esegue
apachectl configteste ricarica Apache in modo graceful. Se il test fallisce, rimette il file precedente. - Controlla che SSH e i siti rispondano ancora e, se non è così, rimuove la patch.
- Controlla che ModSecurity blocchi davvero con la regola, con una richiesta di prova locale innocua. Un ModSecurity in
DetectionOnlysi limita a registrare: la patch viene allora rimossa e segnalata come inefficace, mai come applicata.
Ogni richiesta bloccata dalla patch viene segnalata con CVE-2023-22527 (agente 1.0.37 o successivo): vedi i tentativi nell'attività del server e nella pagina Sfruttamento della dashboard, quindi sai che qualcuno sta provando la vulnerabilità contro di te.
Attenzione: Una patch virtuale blocca la forma nota dell'attacco nelle richieste che passano da Apache su quel server. Non sostituisce l'aggiornamento: installa la versione corretta, poi rimuovi la patch da Attività con Annulla se non ti serve più.
Le patch virtuali richiedono Apache con ModSecurity, l'impostazione Consenti modifiche alla configurazione del web server e nessun pannello di hosting o strumento di configuration management che gestisca il web server; fanno parte del piano Pro e di AutoMode. Le applica una persona a partire dall'analisi AI, oppure AutoMode. Vedi Patch virtuali.
Fonti
I dati di questa pagina vengono da queste fonti; controllale per eventuali aggiornamenti.
Provalo gratis su 1 server
Starter è gratuito per un server, con protezione completa e blocco automatico. Senza carta di credito.
Installa l'agent come root, con il tuo token al posto di <TOKEN>:
curl -fsSL https://github.com/infrafence/infrafence-agent/releases/latest/download/install.sh | sudo bash -s -- --token <TOKEN>Il token si crea nella dashboard, in Server › Aggiungi server.