CVE-2023-22527
Atlassian Confluence Data Center and Server Template Injection Vulnerability
Beschreibung
CVE-2023-22527 ist eine kritische Template-Injection-Schwachstelle in älteren Versionen von Atlassian Confluence Data Center und Server, die einem nicht authentifizierten Angreifer die Ausführung beliebigen Codes auf betroffenen Instanzen ermöglicht (Remote Code Execution, RCE). Die Schwachstelle wurde mit einem CVSS-Score von 9,8 (CRITICAL) bewertet und ist ohne jegliche Authentifizierung über das Netzwerk ausnutzbar. Atlassian hat bestätigt, dass aktuelle unterstützte Versionen nicht betroffen sind, empfiehlt jedoch dringend die Installation der neuesten Version. Die CISA hat die Schwachstelle mit einer Verbindung zu Ransomware-Aktivität in den KEV-Katalog aufgenommen.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:HIm Rechner öffnenCWEs
Betroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| atlassian | confluence data center | >= 8.0.0, < 8.5.4; 8.7.0 |
| atlassian | confluence server | >= 8.0.0, < 8.5.4 |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H
Referenzen
- http://packetstormsecurity.com/files/176789/Atlassian-Confluence-SSTI-Injection.html(Exploit, Third Party Advisory, VDB Entry)
- https://confluence.atlassian.com/pages/viewpage.action?pageId=1333335615(Vendor Advisory)
- https://jira.atlassian.com/browse/CONFSERVER-93833(Issue Tracking, Vendor Advisory)
- https://www.vicarius.io/vsociety/posts/pwning-confluence-via-ognl-injection-for-fun-and-learning-cve-2023-22527(Exploit)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2023-22527(US Government Resource)
Schwachstellentyp
CWE-74: Injection
CVE-2023-22527 ist der Schwachstellenklasse CWE-74: Injection zugeordnet. Injection-Schwachstellen entstehen, wenn ein System nicht vertrauenswürdige Daten als Befehl oder Code interpretiert. Im Fall von CVE-2023-22527 handelt es sich konkret um eine Template Injection, bei der ein Angreifer über die OGNL-Template-Engine (Object-Graph Navigation Language) von Confluence beliebige OGNL-Ausdrücke einschleusen kann.
OGNL ist eine leistungsstarke Expression-Language, die in Confluence für dynamische Inhalte verwendet wird. Durch fehlende oder unzureichende Validierung und Neutralisierung von Benutzereingaben kann ein Angreifer manipulierte Template-Ausdrücke einschleusen, die beim Rendern serverseitig ausgeführt werden. Dies führt direkt zur Remote Code Execution ohne Authentifizierung.
Auswirkungsanalyse
Vertraulichkeit (Hoch): CVE-2023-22527 ermöglicht einem nicht authentifizierten Angreifer die vollständige Kompromittierung des Confluence-Servers. Alle auf dem System gespeicherten Daten, einschließlich Confluence-Inhalte, Konfigurationsdaten und Zugangsdaten, können ausgelesen werden.
Integrität (Hoch): Durch Remote Code Execution hat ein Angreifer volle Kontrolle über das System. Daten können verändert, Hintertüren (Backdoors) installiert und der Server als Ausgangspunkt für weitere Angriffe im Netzwerk genutzt werden.
Verfügbarkeit (Hoch): Ein Angreifer kann den Confluence-Dienst vollständig zum Erliegen bringen, Dateien löschen oder das System durch Ransomware-Verschlüsselung unbrauchbar machen.
Die besondere Schwere ergibt sich aus der Kombination: kein Authentifizierungserfordernis, niedrige Angriffskomplexität und netzwerkbasierter Zugriff. Confluence Data Center und Server werden oft im Unternehmenskontext mit Zugang zu kritischen Inhalten und Netzwerksegmenten eingesetzt. Die Assoziation mit Ransomware-Aktivität im KEV-Katalog belegt das reale Gefährdungspotenzial.
Exploit-Reifegrad
CVE-2023-22527 weist eine extrem hohe Ausnutzungsreife auf. Der EPSS-Score von 94,36 % (Perzentile: 99,96 %) zeigt an, dass die Schwachstelle mit hoher Wahrscheinlichkeit aktiv ausgenutzt wird. Die Schwachstelle ist im CISA KEV-Katalog mit Ransomware-Assoziation gelistet; die Behebungsfrist war der 14. Februar 2024. Öffentliche Exploit-Dokumentationen und Proof-of-Concept-Code sind in Referenzen verfügbar, darunter PacketStorm und Vicarius VSOciety.
Da die Schwachstelle ohne Authentifizierung und ohne Benutzerinteraktion ausnutzbar ist und nur Netzwerkzugang erfordert, eignet sie sich für automatisierte Massenangriffe auf exponierte Confluence-Instanzen. Organisationen mit älteren, nicht gepatchten Confluence-Instanzen müssen sofort handeln.
Behebung
- Confluence auf aktuelle Version aktualisieren: Sofortiges Update auf die neueste unterstützte Version von Confluence Data Center und Server gemäß dem offiziellen Atlassian Security Bulletin.
- Confluence Server abschalten, wenn kein Patch möglich: Wenn ein sofortiger Update nicht durchführbar ist, betroffene Instanzen gemäß CISA-Empfehlung offline nehmen oder vom Netz isolieren.
- Atlassian Security Advisory konsultieren: Das offizielle Advisory (CONFSERVER-93833) und das Security Bulletin von Januar 2024 lesen und alle empfohlenen Schritte umsetzen.
- Logs auf Kompromittierungshinweise prüfen: Confluence-Server-Logs auf ungewöhnliche Template-Anfragen, Fehlermeldungen oder Anzeichen einer OGNL-Injection untersuchen.
- Netzwerkzugriff einschränken: Zugriff auf Confluence-Instanzen auf autorisierte IP-Bereiche beschränken; öffentliche Exposition minimieren.
- Zugangsdaten rotieren: Nach Feststellung einer möglichen Kompromittierung alle Confluence- und damit verbundenen Systemkredenziale zurücksetzen.
- Incident Response einleiten: Bei Verdacht auf eine erfolgreiche Ausnutzung umgehend Incident-Response-Prozesse aktivieren und forensische Untersuchung einleiten.
Technische Details
Technischer Hintergrund: CVE-2023-22527 ist eine Template-Injection-Schwachstelle (Injection, CWE-74) in der OGNL-basierten Template-Engine von Atlassian Confluence. OGNL (Object-Graph Navigation Language) ist eine mächtige Expression Language, die für die dynamische Auswertung von Ausdrücken in Confluence-Templates verwendet wird.
Ausnutzungsmechanismus: Die Schwachstelle besteht in älteren Versionen von Confluence Data Center und Server durch fehlende Validierung von Eingaben in Template-Verarbeitungsendpunkten. Ein Angreifer kann speziell gestaltete OGNL-Ausdrücke als HTTP-Anfrage an einen betroffenen Endpoint senden. Diese Ausdrücke werden serverseitig ausgewertet (SSTI, Server-Side Template Injection), was zur Ausführung beliebiger Betriebssystembefehle führt.
Versionsbetroffenheit: Die Schwachstelle betrifft ausschliesslich ältere Versionen von Atlassian Confluence Data Center und Server; aktuelle unterstützte Versionen sind nicht betroffen, da die Schwachstelle im Rahmen regulärer Versionsupdates behoben wurde. Atlassian empfiehlt dennoch die Installation der neuesten Version.
Öffentliche Exploits: Sowohl Proof-of-Concept-Code als auch technische Erklärungen zur Ausnutzung der Schwachstelle sind öffentlich verfügbar, was das Massenausnutzungsrisiko deutlich erhöht.
Häufig gestellte Fragen
Wird CVE-2023-22527 aktiv ausgenutzt?
Ja, CVE-2023-22527 wird aktiv ausgenutzt. Die Schwachstelle ist im CISA KEV-Katalog mit Ransomware-Assoziation gelistet, mit einer Behebungsfrist bis zum 14. Februar 2024. Der EPSS-Score von 94,36 % (Perzentile: 99,96 %) und die Verfügbarkeit öffentlicher Exploit-Dokumentationen bestätigen das extrem hohe Ausnutzungsrisiko.
Welche Produkte sind von CVE-2023-22527 betroffen?
Betroffen sind ältere Versionen von Atlassian Confluence Data Center und Confluence Server. Aktuelle, unterstützte Versionen sind nach Angaben von Atlassian nicht betroffen. Kunden sollten auf die neueste Version aktualisieren, um auch nicht-kritische Schwachstellen aus dem Januar-Security-Bulletin zu schließen.
Wie behebe ich CVE-2023-22527?
Die Behebung erfordert das sofortige Update auf die neueste unterstützte Version von Confluence Data Center oder Server. Falls ein sofortiges Update nicht möglich ist, sollten betroffene Instanzen gemäß CISA-Empfehlung offline genommen werden. Weitere Details finden Sie im Abschnitt Behebungsmaßnahmen dieser Seite.
Wie schwerwiegend ist CVE-2023-22527?
CVE-2023-22527 wird mit einem CVSS-Score von 9,8 (CRITICAL) bewertet, was die höchste Risikostufe darstellt. Die Schwachstelle ist ohne Authentifizierung und Benutzerinteraktion über das Netzwerk ausnutzbar und ermöglicht vollständige Remote Code Execution. Der EPSS-Score von 94,36 % und die Ransomware-Assoziation unterstreichen das kritische Bedrohungsniveau.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.