【技术干货】CVE-2022-26138 Confluence Server硬编码漏洞分析

漏洞描述

相关介绍

利用范围

环境搭建

此次漏洞分析环境可参考CVE-2022-26134 Confluence OGNL RCE 漏洞分析。

进行搭建。分析源码为confluence-questions-3.0.2.jar或者另外两个版本。

代码分析

动态调试之前，在配置文件default.properties中可以找到所创建用户的相关信息，其中的username和password都是固定的。

紧接着在com.atlassian.confluence.plugins.questions.util#BuildInformationManager处打下断点。

开启debug模式，随后在confluence中上传confluence-questions.jar应用。

在安装应用的过程中，会从配置文件中获取到固定的账号信息。

在此，固定disabledsystemuser用户完成创建并将其添加到confluence-users组。

漏洞复现

使用硬编码密码创建的账号进行登录。

参考官方公告中的修复建议：

更新Questions for Confluence扩展至以下安全版本:

2.7.x >= 2.7.38 (Confluence 6.13.18 到 7.16.2)

1.https://confluence.atlassian.com/doc/questions-for-confluence-security-advisory-2022-07-20-1142446709.html