Nove mesi dopo l’ondata di attacchi del settembre scorso, i server Confluence installati in sede sono di nuovo nel mirino. Il 2 giugno Atlassian ha pubblicato un avviso sulla CVE-2022-26134, una vulnerabilità critica che permette di eseguire codice senza autenticazione. Al momento dell’annuncio la correzione non c’era, e la falla era già sfruttata.
Durante il lungo weekend festivo di fine maggio negli Stati Uniti, l’azienda di risposta agli incidenti Volexity ha analizzato un server Confluence violato di un cliente. Gli attaccanti avevano caricato una web shell residente in memoria e strumenti per mantenere l’accesso. Ricostruendo come fossero entrati, gli analisti hanno trovato una vulnerabilità sconosciuta e l’hanno segnalata ad Atlassian.
Il meccanismo è lo stesso della falla del 2021, una OGNL injection: espressioni inserite in una richiesta HTTP vengono valutate dal server ed eseguite. Questa volta, però, non serve alcun account, e la richiesta da costruire è così semplice che il giorno dopo l’annuncio circolavano già exploit pubblici e scansioni di massa. Sono vulnerabili tutte le versioni supportate di Confluence Server e Data Center, e in pratica ogni versione successiva alla 1.3.0. Confluence Cloud non è coinvolto. L’agenzia statunitense per la cybersicurezza ha ordinato agli enti federali di bloccare l’accesso da Internet a questi server.
Il 3 giugno sono arrivate le versioni corrette: 7.4.17, 7.13.7, 7.14.3, 7.15.2, 7.16.4, 7.17.4 e 7.18.1. Aggiorna subito alla release del tuo ramo. Se non puoi, applica la mitigazione temporanea di Atlassian, che sostituisce alcuni file JAR in modo diverso a seconda della versione, oppure spegni il server o tagliane l’accesso da Internet.
Se Confluence era raggiungibile dall’esterno, cerca le tracce di chi è passato prima di te: processi figli anomali del servizio, come shell o curl, nuovi file JSP, connessioni in uscita insolite, amministratori che non conosci. Se ne trovi, isola la macchina, conserva i log e cambia tutte le credenziali che conteneva, comprese quelle del database e dei collegamenti con Jira o LDAP.
Due falle critiche in nove mesi, sullo stesso prodotto, con lo stesso tipo di difetto. Se il tuo Confluence è ancora esposto direttamente su Internet, questo è il momento di metterlo dietro una VPN o un proxy autenticato.
