Il 31 ottobre Atlassian ha pubblicato un avviso per Confluence Data Center e Server, il wiki aziendale installato in sede da migliaia di organizzazioni. Pochi giorni dopo sono cominciati gli attacchi. Il 6 novembre la gravità della CVE-2023-22518 è stata alzata da 9,1 al massimo, 10 su 10, perché diversi clienti hanno segnalato sfruttamenti attivi e casi di ransomware.
Si tratta di un errore di autorizzazione. Un attaccante senza credenziali può richiamare funzioni che dovrebbero essere riservate e reinizializzare Confluence, creando un nuovo account amministratore. Da lì ha le mani libere: leggere e cancellare i contenuti, installare plugin e, di fatto, eseguire codice sul server. È come se chiunque potesse presentarsi alla procedura di installazione di un sistema già in produzione e ricominciarla da capo.
Sono vulnerabili tutte le versioni precedenti alla 7.19.16, alla 8.3.4, alla 8.4.4, alla 8.5.3 e alla 8.6.1. Confluence Cloud, gestito direttamente da Atlassian, non è coinvolto.
Dopo la pubblicazione dei dettagli tecnici e di un exploit dimostrativo, gli attacchi si sono moltiplicati. In alcuni casi gli aggressori hanno cancellato o cifrato i contenuti del wiki per chiedere un riscatto. L’agenzia statunitense per la cybersicurezza ha aggiunto la falla al catalogo delle vulnerabilità sfruttate. È la seconda falla critica di Confluence in un mese, dopo quella di inizio ottobre sfruttata da un gruppo legato a uno Stato.
Prima l’aggiornamento, poi il backup
Aggiorna a una delle versioni corrette o successive. Se oggi non puoi farlo, togli l’istanza da Internet o mettila dietro una VPN. In alternativa blocca l’accesso agli endpoint /json/setup-restore.action, /json/setup-restore-local.action e /json/setup-restore-progress.action, come indica Atlassian. Poi cerca amministratori sconosciuti, plugin installati di recente, pagine sparite e richieste a quegli indirizzi nei log di accesso.
Un wiki aziendale accumula per anni procedure, documentazione e a volte password che nessuno avrebbe dovuto scriverci. Verifica di avere un backup recente del database e della cartella dati, conservato fuori dal server: se qualcuno cancella tutto, è l’unica cosa che conta. E se tenere Confluence esposto su Internet non è indispensabile, valuta la versione Cloud o un accesso limitato alla rete interna.
