Atlassian颁布远程代码执行缝隙，OG东方厅提供扫描和消控规划

颁布功夫 2022-06-05

近期，OG东方厅集团北冥数据尝试室在缝隙监控中监测到Atlassian 官方颁布了Confluence Server OGNL 注入缝隙（CVE-2022-26134）的安全布告。 。北冥数据尝试室在第一功夫对Atlassian颁布的安全布告进行分析研判，结合OG东方厅泰合盘古平台（THPangu-OS）的底座能力，为宽大用户给出应急措置指引规划。 。

1.png


缝隙分析

缝隙源于利用并未有效验证或过滤用户提交的URL参数，在使用特殊的Java序列号参数作为URL参数时，利用会执行URL中界说的号令并且以特殊设置的返回头例如X-Cmd-Response 返回号令的执行了局。 。

2.png

复现截图

缝隙检测

OG东方厅天镜脆弱性扫描与治理系统已垂危颁布针对该缝隙的升级包，支持对该缝隙进行授权扫描，用户升级尺度缝隙库后即可对该缝隙进行扫描：：

6070版本升级包为607000440，升级包下载地址：：

https://venustech.download.venuscloud.cn/

3.png


升级后已支持该缝隙

请使用OG东方厅天镜脆弱性扫描与治理系统产品的用户尽快升级到最新版本，实时对该缝隙进行检测，以便尽快采取防备措施。 。

修复建议

目前Atlassian官方已颁布正式补丁对该缝隙进行修复，请凭据自身资产环境思考升级官方补丁或采取一时缓解措施有效防护自身资产环境并阻断利用链条。 。

官方升级补丁

官方建议用户升级至最新版本，以保障服务的安全性及不变性。 。下载链接：：

https://www.atlassian.com/software/confluence/download-archives

请升级至以下版本：：

Atlassian Confluence Server and Data Center 7.4.17

Atlassian Confluence Server and Data Center 7.13.7

Atlassian Confluence Server and Data Center 7.14.3

Atlassian Confluence Server and Data Center 7.15.2

Atlassian Confluence Server and Data Center 7.16.4

Atlassian Confluence Server and Data Center 7.17.4

Atlassian Confluence Server and Data Center 7.18.1

一时缓解措施

（1）对于 Confluence 7.15.0 - 7.18.0：：

若是在集群中运行 Confluence，则必要在每个节点上反复此过程。 。您不必要关闭整个集群。 。

1、、关闭 Confluence。 。

2、、下载 xwork-1.0.3-atlassian-10.jar 到Confluence服务器。 。链接：：

https://packages.atlassian.com/maven-internal/opensymphony/xwork/1.0.3-atlassian-10/xwork-1.0.3-atlassian-10.jar

3、、将xwork-1.0.3-atlassian-8.jar删除或移出Confluence 装置目录。 。文件蹊径：：

/confluence/WEB-INF/lib/xwork-1.0.3-atlassian-8.jar

把稳：：请用户不要在该目录中留下旧JAR文件的副本。 。


4、、将下载的xwork-1.0.3-atlassian-10.jar文件复制到以下目录中。 。目录蹊径：：

/confluence/WEB-INF/lib/


5、、查抄xwork-1.0.3-atlassian-10.jar文件权限是否与统一目录中的其他文件一样。 。


6、、重启 Confluence。 。

请记住，若是您在集群中运行 Confluence，请确保在所有节点上运行此剧本。 。

（2）对于Confluence 7.0.0 - Confluence 7.14.2：：

若是在集群中运行 Confluence，则必要在每个节点上反复此过程。 。您不必要关闭整个集群。 。

1、、关闭 Confluence。 。


2、、下载 xwork-1.0.3-atlassian-10.jar、、webwork-2.1.5-atlassian-4.jar和CachedConfigurationProvider.class 三个文件到 Confluence Windows 服务器。 。链接别离为：：

https://packages.atlassian.com/maven-internal/opensymphony/xwork/1.0.3-atlassian-10/xwork-1.0.3-atlassian-10.jar

https://packages.atlassian.com/maven-internal/opensymphony/webwork/2.1.5-atlassian-4/webwork-2.1.5-atlassian-4.jar

https://confluence.atlassian.com/doc/files/1130377146/1137639562/3/1654274890463/CachedConfigurationProvider.class

3、、将xwork-1.0.3.6.jar与webwork-2.1.5-atlassian-3.jar删除或移出Confluence 装置目录。 。文件蹊径别离为：：

/confluence/WEB-INF/lib/xwork-1.0.3.6.jar

/confluence/WEB-INF/lib/webwork-2.1.5-atlassian-3.jar

把稳：：请用户不要在该目录中留下以上旧JAR文件的副本。 。


4、、将下载的xwork-1.0.3-atlassian-10.jar文件复制到以下目录中。 。目录蹊径：：

 /confluence/WEB-INF/lib/

5、、将下载的webwork-2.1.5-atlassian-4.jar文件复制到以下目录中。 。目录蹊径：：

/confluence/WEB-INF/lib/

6、、查抄下载的新文件权限是否与统一目录中的其他文件一样。 。


7、、切换到以下目录

/confluence/WEB-INF/classes/com/atlassian/confluence/setup

（a）在setup目录下创建一个名为webwork的新目录


（b）将CachedConfigurationProvider.class复制到创建好的webwork目录中。 。目录蹊径：：

/confluence/WEB-INF/classes/com/atlassian/confluence/setup/webwork

（c）查抄CachedConfigurationProvider.class文件权限是否与统一目录中的其他文件一样。 。


8、、重启 Confluence。 。


请记住，若是您在集群中运行 Confluence，请确保在所有节点上运行此剧本。 。

参考链接：：

https://confluence.atlassian.com/doc/confluence-security-advisory-2022-06-02-1130377146.html

ATT&CK攻击链分析与措置建议

ATT&CK攻击链分析

通过对Atlassian onfluence Server和Data Center 中的OGNL 注入缝隙（CVE-2022-26134）利用过程进行分析，其缝隙利用入侵过程为：：

该缝隙属于未经身份验证的远程代码执行缝隙，远程恶意入侵者在未经身份验证的情况下，能够利用该缝隙通过发送恶意的Web要求注入号令，在指标Atlassian Confluence Server and Data Center服务器上注入恶意OGNL表白式，实此刻Confluence Server或Data Center实例上远程执行肆意代码，并部署WebShell。 。

通过对缝隙利用入侵过程（攻击链）的分析，攻击链涉及多个ATT&CK战术和技术阶段，覆盖的TTP蕴含：：

初始接见（TA0001）：：利用面向公家的利用法式T1190

权限提升（TA0004）：：提权势用T1068

悠久化（TA0003）   ：：Web Shell T1505.003

措置规划建议和SOAR剧本编排

4.png


通过泰合安全治理和态势感知平台内置SOAR自动化或半自动化编排联动响应措置能力，针对该缝隙利用的告警事务编排剧本，进行自动化措置。 。

受影响的产品及版本详情：：

Atlassian Confluence Server and Data Center >= 1.3.0

Atlassian Confluence Server and Data Center < 7.4.17

Atlassian Confluence Server and Data Center < 7.13.7

Atlassian Confluence Server and Data Center < 7.14.3

Atlassian Confluence Server and Data Center < 7.15.2

Atlassian Confluence Server and Data Center < 7.16.4

Atlassian Confluence Server and Data Center < 7.17.4

Atlassian Confluence Server and Data Center < 7.18.1

北冥数据尝试室

北冥数据尝试室成立于2022年3月，致力于网络空间安全知识工程钻研和系统化建设的专业团队，由OG东方厅集团天镜缝隙钻研团队、、泰合知识工程团队、、大数据尝试室（BDlab）场景化分析团队结合组成。 。

北冥数据尝试室始终秉持以需要为导向、、知识赋能产品的主题理念，专一于提供网络空间安全的基础知识钻研和开发，制订结合威胁和缝隙谍报、、网络空间资产和云安全监测数据等综合谍报以及用户现实场景的安全分析防护战术，构建自动化调查和措置响应措施，形成场景化、、结构化的知识工程系统，对各类安全产品、、平台和安全运营提供知识赋能。 。