CVE-2022-26134
Atlassian Confluence Server and Data Center Remote Code Execution Vulnerability
Beschreibung
CVE-2022-26134 ist eine kritische Remote-Code-Execution-Schwachstelle in Atlassian Confluence Server und Data Center, die es einem nicht authentifizierten Angreifer ermöglicht, beliebigen Code auf dem Zielsystem auszuführen. Die Schwachstelle basiert auf einer OGNL-Injection im Webinterface von Confluence und ermöglicht die vollständige Übernahme des Servers ohne jegliche Authentifizierung. CVE-2022-26134 wurde von der CISA in den KEV-Katalog aufgenommen und steht in bestätigtem Zusammenhang mit Ransomware-Kampagnen. Das EPSS-Perzentil von 99,98 % belegt eine nahezu sichere Ausnutzungsaktivität und macht diese Confluence-Schwachstelle zu einer unmittelbaren Bedrohung für alle ungepatchten Instanzen.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:HIm Rechner öffnenCWEs
Betroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| atlassian | confluence data center | >= 1.3, < 7.4.17; >= 7.13.0, < 7.13.7; >= 7.14.0, < 7.14.3; >= 7.15.0, < 7.15.2; >= 7.16.0, < 7.16.4; >= 7.17.0, < 7.17.4; 7.18.0 |
| atlassian | confluence server | >= 1.3, < 7.4.17; >= 7.13.0, < 7.13.7; >= 7.14.0, < 7.14.3; >= 7.15.0, < 7.15.2; >= 7.16.0, < 7.16.4; >= 7.17.0, < 7.17.4; 7.18.0 |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Referenzen
- http://packetstormsecurity.com/files/167430/Confluence-OGNL-Injection-Remote-Code-Execution.html(Exploit, Third Party Advisory, VDB Entry)
- http://packetstormsecurity.com/files/167431/Through-The-Wire-CVE-2022-26134-Confluence-Proof-Of-Concept.html(Third Party Advisory, VDB Entry)
- http://packetstormsecurity.com/files/167432/Confluence-OGNL-Injection-Proof-Of-Concept.html(Third Party Advisory, VDB Entry)
- http://packetstormsecurity.com/files/167449/Atlassian-Confluence-Namespace-OGNL-Injection.html(Exploit, Third Party Advisory, VDB Entry)
- https://confluence.atlassian.com/doc/confluence-security-advisory-2022-06-02-1130377146.html(Vendor Advisory)
- https://jira.atlassian.com/browse/CONFSERVER-79016(Issue Tracking, Patch, Vendor Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2022-26134(US Government Resource)
Schwachstellentyp
Für CVE-2022-26134 ist kein spezifischer CWE-Typ in der NVD-Datenbank zugeordnet. Die zugrunde liegende Schwäche ist eine OGNL-Injection (Object-Graph Navigation Language) in Atlassian Confluence Server und Data Center. OGNL-Injection ermöglicht es Angreifern, beliebige Ausdrücke auf der Serverseite auszuwerten, indem schädlicher OGNL-Code über benutzerkontrollierte Eingaben eingeschleust wird, was zu Remote Code Execution führt. Diese Schwachstellenklasse ist eng verwandt mit Expression-Language-Injection und serverseitiger Code-Injection.
Auswirkungsanalyse
CVE-2022-26134 hat ein verheerendes Auswirkungsprofil, da die Schwachstelle eine nicht authentifizierte Remote Code Execution auf Confluence-Servern ermöglicht. Der Angriff erfolgt über das Netzwerk, erfordert keine besonderen Bedingungen, keine Authentifizierung und keine Benutzerinteraktion. Vertraulichkeit (Hoch): Angreifer erhalten Zugriff auf alle in Confluence gespeicherten Daten, einschließlich interner Dokumentation, Zugangsdaten, API-Schlüssel und vertraulicher Geschäftsinformationen. Integrität (Hoch): Vollständige Codeausführung ermöglicht das Installieren von Webshells, Backdoors und das Manipulieren von Serverinhalten. Verfügbarkeit (Hoch): Kompromittierte Server können durch Ransomware verschlüsselt, offline genommen oder als Ausgangspunkt für weitere Angriffe genutzt werden. Die CISA hat den Ransomware-Bezug bestätigt, und das EPSS-Perzentil von 99,98 % ordnet CVE-2022-26134 unter die am aktivsten ausgenutzten Schwachstellen weltweit ein.
Exploit-Reifegrad
CVE-2022-26134 weist einen extrem hohen Exploit-Reifegrad mit bestätigter, weit verbreiteter aktiver Ausnutzung auf. Die CISA hat die Schwachstelle mit einer dringenden Behebungsfrist (6. Juni 2022) in den KEV-Katalog aufgenommen und die sofortige Blockierung des gesamten Internetverkehrs zu und von betroffenen Produkten empfohlen. Der Ransomware-Bezug ist durch die CISA bestätigt, wobei mehrere Ransomware-Gruppen diese Schwachstelle für den initialen Zugang nutzen. Das EPSS-Perzentil von 99,98 % belegt eine nahezu sichere Ausnutzungsaktivität. Öffentlicher Exploit-Code ist weit verbreitet, und die Schwachstelle wurde als Zero-Day ausgenutzt, bevor Patches verfügbar waren.
Behebung
- Sofort den gesamten Internetverkehr zu und von betroffenen Confluence-Instanzen blockieren und das Update gemäß der Atlassian-Sicherheitsempfehlung anwenden. Die Internetblockierung sollte bestehen bleiben, bis die Updates erfolgreich bereitgestellt wurden.
- Confluence Server und Data Center auf eine gepatchte Version upgraden. Atlassian hat Fixes für alle unterstützten Versionen veröffentlicht. Bei nicht mehr unterstützten Versionen sollte ein Upgrade auf eine aktuelle, unterstützte Version durchgeführt werden.
- Auf Kompromittierungsindikatoren prüfen: Betroffene Confluence-Server auf Webshells, nicht autorisierte Benutzerkonten, unerwartete geplante Aufgaben und verdächtige Prozessausführungen untersuchen. Zugangsprotokolle auf OGNL-Injection-Muster analysieren.
- Web Application Firewall (WAF) Regeln implementieren, um OGNL-Injection-Muster in HTTP-Anfragen zu erkennen und zu blockieren. WAF-Regeln ersetzen das Patching nicht, bieten aber eine zusätzliche Verteidigungsebene.
- Netzwerkzugriff auf Confluence einschränken und nur vertrauenswürdige Netzwerke zulassen. Confluence sollte nicht direkt ohne VPN, Reverse-Proxy-Authentifizierung und angemessene Zugriffskontrollen im Internet exponiert werden.
Technische Details
CVE-2022-26134 ist eine OGNL-Injection-Schwachstelle in Atlassian Confluence Server und Data Center. Die Schwachstelle liegt in der Art und Weise, wie Confluence bestimmte HTTP-Anfragen verarbeitet, wobei ein Angreifer beliebige OGNL-Ausdrücke einschleusen kann, die serverseitig ausgewertet werden. OGNL ist eine leistungsstarke Ausdruckssprache, die intern vom Struts-basierten Framework von Confluence verwendet wird. Wenn angreiferkontrollierte Eingaben ohne ausreichende Bereinigung die OGNL-Auswertungs-Engine erreichen, ermöglicht dies die direkte Ausführung von Java-Code auf dem Server. Der Angriff erfordert lediglich eine speziell gestaltete HTTP-Anfrage an eine Confluence-URL, ohne Authentifizierung oder Benutzerinteraktion. Der eingeschleuste OGNL-Ausdruck kann Java-Laufzeitmethoden aufrufen, um Betriebssystembefehle auszuführen, Dateien zu lesen, Reverse Shells aufzubauen oder zusätzliche Payloads herunterzuladen und auszuführen.
Häufig gestellte Fragen
Wird CVE-2022-26134 aktiv ausgenutzt?
Ja, CVE-2022-26134 wird aktiv und weit verbreitet ausgenutzt. Die CISA hat die aktive Ausnutzung bestätigt und die Schwachstelle mit Ransomware-Bezug in den KEV-Katalog aufgenommen. Das EPSS-Perzentil von 99,98 % belegt eine nahezu sichere Ausnutzungsaktivität, und mehrere Ransomware-Gruppen nutzen diese Schwachstelle für den initialen Zugang zu Unternehmensnetzwerken.
Welche Produkte sind von CVE-2022-26134 betroffen?
Von CVE-2022-26134 sind Atlassian Confluence Server und Atlassian Confluence Data Center betroffen. Alle Versionen vor dem Sicherheitsfix sind verwundbar. Organisationen mit selbst gehosteten Confluence-Instanzen sollten ihre Version anhand der Atlassian-Sicherheitsempfehlung überprüfen.
Wie behebe ich CVE-2022-26134?
Blockieren Sie sofort den gesamten Internetverkehr zu betroffenen Confluence-Instanzen und installieren Sie die vom Hersteller bereitgestellten Patches. Führen Sie ein Upgrade auf eine gepatchte Version durch. Nach dem Patching sollten die Systeme auf Kompromittierungsindikatoren wie Webshells und nicht autorisierte Konten geprüft werden.
Wie schwerwiegend ist CVE-2022-26134?
CVE-2022-26134 ist eine kritische, nicht authentifizierte Remote-Code-Execution-Schwachstelle mit einem EPSS-Perzentil von 99,98 %, was sie unter die am meisten ausgenutzten Schwachstellen weltweit einordnet. Die CISA hat den Ransomware-Bezug bestätigt und eine dringende Behebungsfrist zum 6. Juni 2022 gesetzt. Die Kombination aus fehlendem Authentifizierungserfordernis und trivialer Ausnutzbarkeit macht dies zu einer der gefährlichsten Confluence-Schwachstellen überhaupt.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.