CVE-2023-22515

2024-09-09

45.148.10.192

the netherlands 

Atlassian 

Confluence Data Center and Server 

GET /server-info.action?bootstrapStatusProvider.applicationConfig.setupComplete=0&cache2lbQqi60R6c2jOs5qmxw8KwLsSu HTTP/1.0
User-Agent: Mozilla/5.0 (X11; Linux x86_64; rv:70.0) Gecko/20100101 Firefox/70.0
Host: ████████████
X-Forwarded-For: █████████████
Accept-Encoding: gzip
Connection: close

CVE-2023-22515 - это критическая уязвимость, выявленная в Atlassian Confluence Data Center и Server. Эта уязвимость, классифицированная как проблема контроля доступа, позволяет удаленным злоумышленникам эксплуатировать общедоступные экземпляры Confluence для создания несанкционированных учетных записей администратора Confluence. Получив административный доступ, злоумышленники могут выполнять широкий спектр вредоносных действий, включая эксфильтрацию контента, доступ к системным учетным данным и установку вредоносных плагинов.
Эта уязвимость не затрагивает сайты Atlassian Cloud. Если ваш сайт Confluence доступен через домен atlassian.net, он размещен на платформе Atlassian и не подвержен этой уязвимости. Уязвимость имеет оценку CVSS 10, что указывает на ее критическую природу. Вектор атаки основан на сети, не требует аутентификации и имеет низкую сложность, что делает ее высокоэксплуатируемой.
Проблема была сообщена несколькими клиентами и активно эксплуатировалась в дикой природе. Злоумышленники использовали эту уязвимость нулевого дня для несанкционированного доступа к экземплярам Confluence, что приводило к значительным нарушениям безопасности. Уязвимость затрагивает версии Confluence Data Center и Server до 8.0.0.
Atlassian предоставила несколько обновлений и рекомендаций для решения этой проблемы. Они рекомендуют обновить Confluence Data Center и Server до последних исправленных версий для снижения риска. Кроме того, Atlassian предоставила поддержку по обнаружению угроз и усилила действия, необходимые для защиты затронутых экземпляров. Организациям рекомендуется работать с местными командами безопасности или специализированными фирмами по судебной экспертизе безопасности для дальнейшего расследования и обращаться в службу поддержки Atlassian за дополнительной помощью.

Обновите Confluence: Обновите каждую из затронутых установок Confluence Data Center и Server до одной из исправленных версий (или любой более поздней версии), предоставленных Atlassian.
Измените конфигурацию: На каждом узле измените файл /confluence/WEB-INF/web.xml, чтобы включить необходимые настройки безопасности, рекомендованные Atlassian.
Мониторинг индикаторов компрометации: Регулярно проверяйте наличие индикаторов компрометации, таких как несанкционированные учетные записи администратора и необычная активность в экземплярах Confluence.
Привлечение экспертов по безопасности: Работайте с местной командой безопасности или специализированной фирмой по судебной экспертизе безопасности для проведения тщательного расследования ваших экземпляров Confluence.
Свяжитесь с поддержкой Atlassian: Обратитесь в службу поддержки Atlassian за дополнительной помощью и рекомендациями по защите ваших экземпляров Confluence.
Реализация сегментации сети: Убедитесь, что экземпляры Confluence не являются общедоступными и защищены соответствующей сегментацией сети и межсетевыми экранами.
Регулярное обновление: Поддерживайте регулярный график обновлений, чтобы все программное обеспечение было актуальным и содержало последние исправления безопасности.