CVE-2023-22527: injeção de template no Confluence, verificar e corrigir
Última atualização:
Uma injeção de template em versões desatualizadas do Confluence 8 Data Center e Server permite que um atacante sem autenticação execute código no servidor por meio do endpoint /template/aui/text-inline.vm.
A Atlassian dá nota 10.0 (CVSS 3.0) e o NVD 9.8 (CVSS 3.1). A exploração começou poucos dias depois do comunicado de janeiro de 2024, e a Atlassian não indica nenhuma solução alternativa: a correção é o upgrade.
Em resumo
- CVE
- CVE-2023-22527
- Software
- Atlassian Confluence Data Center e Server
- Versões afetadas
- 8.0.x a 8.4.x e 8.5.0 a 8.5.3 (o NVD também lista o Data Center 8.7.0)
- Corrigida em
- 8.5.4 e 8.5.5 (LTS); só Data Center: 8.6.0, 8.7.1, 8.7.2
- Pontuação CVSS
- 9.8 Crítica (NVD, CVSS 3.1) ·
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H - CISA Known Exploited Vulnerabilities
- Sim, adicionada em 24 de janeiro de 2024
- Publicada pelo NVD
- 16 de janeiro de 2024
- Patch virtual do InfraFence
vp-cve-2023-22527(ModSecurity id 9920006)
O que é afetado
Confluence Data Center e Server 8.0.x a 8.4.x e 8.5.0 a 8.5.3; o NVD também lista o Data Center 8.7.0. As versões Long Term Support 7.19.x não são afetadas, nem o Confluence Cloud. As versões corrigidas da Atlassian são 8.5.4 e 8.5.5 (LTS) e, só para o Data Center, 8.6.0, 8.7.1 e 8.7.2; a Atlassian recomenda a versão mais recente.
Verificar se um servidor está vulnerável
Leia a versão no rodapé de qualquer página, ou em Administration › General Configuration › System Information, e compare com a lista acima.
As tentativas são requisições ao endpoint de template:
sudo grep -rhi 'text-inline.vm' --include='*access*' --exclude='*.gz' /var/log/apache2 /var/log/httpd 2>/dev/null | tail -20Corrigir
- Faça o backup do banco de dados e da pasta home do Confluence.
- Faça o upgrade para a versão mais recente de uma linha com suporte, seguindo o guia de upgrade da Atlassian; num cluster, em cada nó.
- Confira a versão mostrada no rodapé depois de reiniciar.
Atenção: Não existe solução alternativa por configuração. Uma instância vulnerável que estava acessível pela internet deve ser verificada quanto a comprometimento (processos desconhecidos, arquivos nas pastas de instalação e home) depois do upgrade.
Como o InfraFence a bloqueia enquanto você atualiza
O patch virtual para a CVE-2023-22527 é uma regra ModSecurity que bloqueia toda requisição cujo caminho, decodificado e normalizado, termina em /template/aui/text-inline.vm, quaisquer que sejam os parâmetros.
Nota: Ele só protege o Confluence atrás do Apache com ModSecurity no mesmo servidor. As requisições à porta do próprio Confluence não são vistas: mantenha essa porta fechada para a internet.
Como o patch é aplicado
- O agente anota quais portas SSH e quais sites respondem.
- Ele grava a regra (id ModSecurity 9920006) entre os próprios marcadores no seu arquivo ModSecurity, executa
apachectl configteste recarrega o Apache de forma suave. Se o teste falhar, o arquivo anterior volta ao lugar. - Ele verifica se o SSH e os sites ainda respondem, e remove o patch se não responderem.
- Ele verifica se o ModSecurity realmente bloqueia com a regra, com uma requisição de teste local inofensiva. Um ModSecurity em
DetectionOnlysó registra: nesse caso, o patch é removido e reportado como ineficaz, nunca como aplicado.
Cada requisição que o patch bloqueia é reportada com CVE-2023-22527 (agente 1.0.37 ou posterior): você vê as tentativas na atividade do servidor e na página Exploração do painel, e assim sabe que a vulnerabilidade está sendo testada contra você.
Atenção: Um patch virtual bloqueia a forma conhecida do ataque nas requisições que passam pelo Apache naquele servidor. Ele não substitui a atualização: instale a versão corrigida e depois remova o patch em Atividade com Desfazer, se não precisar mais dele.
Os patches virtuais precisam do Apache com ModSecurity, da configuração Permitir alterações na configuração do servidor web e de nenhum painel de hospedagem ou ferramenta de gerenciamento de configuração controlando o servidor web; eles fazem parte do plano Pro e do AutoMode. Uma pessoa os aplica a partir da análise por IA, ou o AutoMode faz isso. Veja Patches virtuais.
Fontes
Os fatos desta página vêm destas fontes; consulte-as para ver se houve mudanças.
Teste grátis em 1 servidor
O Starter é gratuito para um servidor, com proteção completa e bloqueio automático. Sem cartão de crédito.
Instale o agente como root, com o seu token no lugar de <TOKEN>:
curl -fsSL https://github.com/infrafence/infrafence-agent/releases/latest/download/install.sh | sudo bash -s -- --token <TOKEN>O token é criado no painel, em Servidores › Adicionar servidor.