Se hai un server Atlassian Confluence in sede, aggiornalo prima di leggere il resto. Venerdì 3 settembre il Cyber Command degli Stati Uniti ha diffuso un avviso insolitamente diretto: lo sfruttamento di massa della CVE-2021-26084 «è in corso e destinato ad accelerare», e l’aggiornamento «non può aspettare la fine del weekend». Quando un comando militare ti dice di non aspettare il lunedì, conviene ascoltarlo.
Atlassian ha pubblicato avviso e correzioni il 25 agosto. È una OGNL injection: alcune pagine di Confluence elaborano come espressioni OGNL, il linguaggio usato dal framework Java Webwork, dati forniti dall’utente, e un attaccante può così eseguire codice arbitrario sul server. In teoria serve un account, ma in molte configurazioni l’attacco funziona anche senza autenticazione. La gravità è 9,8 su 10.
Sono coinvolte tutte le versioni di Confluence Server e Data Center precedenti alle correzioni, cioè la 6.13.23, la 7.4.11, la 7.11.6, la 7.12.5 e la 7.13.0 e successive. Confluence Cloud non è vulnerabile.
Dagli exploit pubblici a Jenkins in pochi giorni
Il 31 agosto e il 1° settembre sono comparsi exploit funzionanti, e subito sono partite le scansioni a tappeto. Gli attacchi osservati finora installano soprattutto miner di criptovaluta, ma chi esegue codice sul tuo server può fare molto di più che minare. Tra le vittime c’è il progetto open source Jenkins: un suo vecchio server Confluence è stato violato e messo offline, e il progetto afferma che rilasci, plugin e codice sorgente non sono stati toccati. Nel fine settimana risultavano ancora esposti oltre 8.500 server vulnerabili.
Aggiorna a una versione corretta, possibilmente all’ultima LTS. Se non puoi farlo subito, applica lo script di mitigazione temporanea di Atlassian, che è diverso per Linux e Windows. Poi chiediti se Confluence debba davvero essere raggiungibile da Internet: dietro una VPN o un proxy autenticato, una falla come questa diventa molto meno urgente.
Se il server era esposto e non aggiornato dopo il 31 agosto, dai per scontato che qualcuno ci abbia provato. Cerca processi con consumo di CPU anomalo, cron e servizi nuovi, file sconosciuti nelle cartelle temporanee, connessioni verso pool di mining. Nel dubbio ricostruisci da un backup pulito e cambia tutte le credenziali che il server conteneva, compresi gli accessi al database.
