Atlassian宣布远程代码执行误差，优发国际网站官网提供扫描和消控计划
宣布时间 2022-06-05近期，优发国际网站官网集团北冥数据实验室在误差监控中监测到Atlassian 官方宣布了Confluence Server OGNL 注入误差（CVE-2022-26134）的清静通告。北冥数据实验室在第一时间对Atlassian宣布的清静通告举行剖析研判，团结优发国际网站官网泰合盘古平台（THPangu-OS）的底座能力，为宽大用户给出应急处置惩罚指引计划。
误差剖析
误差源于应用并未有用验证或过滤用户提交的URL参数，在使用特殊的Java序列号参数作为URL参数时，应用会执行URL中界说的下令并且以特殊设置的返转头例如X-Cmd-Response 返回下令的执行效果。
复现截图
误差检测
优发国际网站官网天镜懦弱性扫描与治理系统已紧迫宣布针对该误差的升级包，支持对该误差举行授权扫描，用户升级标准误差库后即可对该误差举行扫描：
6070版本升级包为607000440，升级包下载地点：
https://venustech.download.venuscloud.cn/
升级后已支持该误差
请使用优发国际网站官网天镜懦弱性扫描与治理系统产品的用户尽快升级到最新版本，实时对该误差举行检测，以便尽快接纳提防步伐。
修复建议
现在Atlassian官方已宣布正式补丁对该误差举行修复，请凭证自身资产情形思量升级官方补丁或接纳暂时缓解步伐有用防护自身资产情形并阻断使用链条。
官方升级补丁
官方建议用户升级至最新版本，以包管服务的清静性及稳固性。下载链接：
https://www.atlassian.com/software/confluence/download-archives
请升级至以下版本：
Atlassian Confluence Server and Data Center 7.4.17
Atlassian Confluence Server and Data Center 7.13.7
Atlassian Confluence Server and Data Center 7.14.3
Atlassian Confluence Server and Data Center 7.15.2
Atlassian Confluence Server and Data Center 7.16.4
Atlassian Confluence Server and Data Center 7.17.4
Atlassian Confluence Server and Data Center 7.18.1
暂时缓解步伐
（1）关于 Confluence 7.15.0 - 7.18.0：
若是在集群中运行 Confluence，则需要在每个节点上重复此历程。您不需要关闭整个集群。
1、关闭 Confluence。
2、下载 xwork-1.0.3-atlassian-10.jar 到Confluence服务器。链接：
https://packages.atlassian.com/maven-internal/opensymphony/xwork/1.0.3-atlassian-10/xwork-1.0.3-atlassian-10.jar
3、将xwork-1.0.3-atlassian-8.jar删除或移出Confluence 装置目录。文件路径：
/confluence/WEB-INF/lib/xwork-1.0.3-atlassian-8.jar
注重：请用户不要在该目录中留下旧JAR文件的副本。
4、将下载的xwork-1.0.3-atlassian-10.jar文件复制到以下目录中。目录路径：
/confluence/WEB-INF/lib/
5、检查xwork-1.0.3-atlassian-10.jar文件权限是否与统一目录中的其他文件相同。
6、重启 Confluence。
请记着，若是您在集群中运行 Confluence，请确保在所有节点上运行此剧本。
（2）关于Confluence 7.0.0 - Confluence 7.14.2：
若是在集群中运行 Confluence，则需要在每个节点上重复此历程。您不需要关闭整个集群。
1、关闭 Confluence。
2、下载 xwork-1.0.3-atlassian-10.jar、webwork-2.1.5-atlassian-4.jar和CachedConfigurationProvider.class 三个文件到 Confluence Windows 服务器。链接划分为：
https://packages.atlassian.com/maven-internal/opensymphony/xwork/1.0.3-atlassian-10/xwork-1.0.3-atlassian-10.jar
https://packages.atlassian.com/maven-internal/opensymphony/webwork/2.1.5-atlassian-4/webwork-2.1.5-atlassian-4.jar
https://confluence.atlassian.com/doc/files/1130377146/1137639562/3/1654274890463/CachedConfigurationProvider.class
3、将xwork-1.0.3.6.jar与webwork-2.1.5-atlassian-3.jar删除或移出Confluence 装置目录。文件路径划分为：
/confluence/WEB-INF/lib/xwork-1.0.3.6.jar
/confluence/WEB-INF/lib/webwork-2.1.5-atlassian-3.jar
注重：请用户不要在该目录中留下以上旧JAR文件的副本。
4、将下载的xwork-1.0.3-atlassian-10.jar文件复制到以下目录中。目录路径：
/confluence/WEB-INF/lib/
5、将下载的webwork-2.1.5-atlassian-4.jar文件复制到以下目录中。目录路径：
/confluence/WEB-INF/lib/
6、检查下载的新文件权限是否与统一目录中的其他文件相同。
7、切换到以下目录
/confluence/WEB-INF/classes/com/atlassian/confluence/setup
（a）在setup目录下建设一个名为webwork的新目录
（b）将CachedConfigurationProvider.class复制到建设好的webwork目录中。目录路径：
/confluence/WEB-INF/classes/com/atlassian/confluence/setup/webwork
（c）检查CachedConfigurationProvider.class文件权限是否与统一目录中的其他文件相同。
8、重启 Confluence。
请记着，若是您在集群中运行 Confluence，请确保在所有节点上运行此剧本。
参考链接：
https://confluence.atlassian.com/doc/confluence-security-advisory-2022-06-02-1130377146.html
ATT&CK攻击链剖析与处置惩罚建议
ATT&CK攻击链剖析
通过对Atlassian onfluence Server和Data Center 中的OGNL 注入误差（CVE-2022-26134）使用历程举行剖析，其误差使用入侵历程为：
该误差属于未经身份验证的远程代码执行误差，远程恶意入侵者在未经身份验证的情形下，可以使用该误差通过发送恶意的Web请求注入下令，在目的Atlassian Confluence Server and Data Center服务器上注入恶意OGNL表达式，实现在Confluence Server或Data Center实例上远程执行恣意代码，并安排WebShell。
通过对误差使用入侵历程（攻击链）的剖析，攻击链涉及多个ATT&CK战术和手艺阶段，笼罩的TTP包括：
初始会见（TA0001）：使用面向公众的应用程序T1190
权限提升（TA0004）：提权使用T1068
长期化（TA0003） ：Web Shell T1505.003
处置惩罚计划建媾和SOAR剧本编排
通过泰合清静治理和态势感知平台内置SOAR自动化或半自动化编排联动响应处置惩罚能力，针对该误差使用的告警事务编排剧本，举行自动化处置惩罚。
受影响的产品及版本详情：
Atlassian Confluence Server and Data Center >= 1.3.0
Atlassian Confluence Server and Data Center < 7.4.17
Atlassian Confluence Server and Data Center < 7.13.7
Atlassian Confluence Server and Data Center < 7.14.3
Atlassian Confluence Server and Data Center < 7.15.2
Atlassian Confluence Server and Data Center < 7.16.4
Atlassian Confluence Server and Data Center < 7.17.4
Atlassian Confluence Server and Data Center < 7.18.1
北冥数据实验室
北冥数据实验室建设于2022年3月，致力于网络空间清静知识工程研究和系统化建设的专业团队，由优发国际网站官网集团天镜误差研究团队、泰合知识工程团队、大数据实验室（BDlab）场景化剖析团队团结组成。
北冥数据实验室始终秉持以需求为导向、知识赋能产品的焦点理念，专注于提供网络空间清静的基础知识研究和开发，制订团结威胁和误差情报、网络空间资产和云清静监测数据等综合情报以及用户现实场景的清静剖析防护战略，构建自动化视察和处置惩罚响应步伐，形成场景化、结构化的知识工程系统，对种种清静产品、平台和清静运营提供知识赋能。
京公网安备11010802024551号