利用 Atlassian 的严重缺陷(CVE-2023-22518)部署 Cerber 勒索软件的 Linux 变体

1.简介

• Atlassian 是一家总部位于澳大利亚悉尼的软件公司，以其开发的一系列协作和项目管理工具而闻名。
• Atlassian Confluence 是一款企业级的协作和文档管理平台，它为团队提供了一个中心化的空间来创建、分享和协作编辑文档、项目计划、会议记录、知识库等内容。
• Cerber 勒索软件是一种通过加密受害者计算机上的文件，并要求支付赎金来解锁文件的恶意软件。一旦感染，Cerber 会加密用户的重要文件，如文档、照片、视频等，并留下赎金说明，告知受害者如何支付赎金以换取解密密钥。

2.描述

• 一个身份认证绕过漏洞、不正确的授权漏洞
• 这个不正确的授权漏洞允许未经身份验证的攻击者重置 Confluence 并创建一个 Confluence 实例管理员账户。使用这个账户，攻击者可以执行所有对 Confluence 实例管理员可用的管理操作。这个 Metasploit 模块使用 管理员账户来安装一个恶意的 .jsp servlet 插件，用户可以触发该插件，从而在运行 Confluence 服务器的用户上下文中在目标上执行代码。
• 这个 Improper Authorization 漏洞允许未经身份验证的攻击者重置 Confluence 并创建一个 Confluence 实例管理员账户。使用这个账户，攻击者可以执行所有对 Confluence 实例管理员可用的管理操作，从而导致 – 但不限于 – 完全失去机密性、完整性和可用性。
• 漏洞存在于Atlassian Confluence Data Center & Server 中。由于子组件Struts2继承关系处理不当， 滥用了 Struts2 的继承关系，攻击者在未授权的情况下利用该漏洞，构造恶意数据进行认证绕过，获取服务器最高权限，进而接管服务器
• Atlassian Cloud 站点不受此漏洞的影响。如果您的 Confluence 站点是通过 atlassian.net域访问的，则该站点由 Atlassian 托管，因此不易受到此问题的影响。

3.影响范围

• 数据中心
  • confluence_data_center：1.0.0–7.19.16
  • confluence_data_center：7.20.0–8.3.4
  • confluence_data_center：8.4.0–8.4.4
  • confluence_data_center：8.5.0–8.5.3
  • confluence_data_center：Match 8.6.0
• 服务器
  • confluence_server：1.0.0–7.19.16
  • confluence_server：7.20.0–8.3.4
  • confluence_server：8.4.0–8.4.4
  • confluence_server：8.5.0–8.5.3
  • confluence_server：Match 8.6.0

3.修复建议

• 不将Confluence 放置在公网上。或通过网络ACL策略限制访问来源。备份 Confluence 应用数据。
• 官方已经推出了安全修复版本，建议用户尽快下载安装新版本修复漏洞。