Una vulnerabilidad crítica, identificada como CVE-2023-22518, afecta a todas las versiones de Atlassian Confluence Data Center y Confluence Server. Esta vulnerabilidad permite un escalamiento de privilegios sin necesidad de autenticación previa, lo que representa un riesgo significativo para la seguridad de las instancias afectadas. Las instancias en la nube no se ven afectadas por esta vulnerabilidad.
Detalles de la vulnerabilidad
La vulnerabilidad fue revelada el 31 de octubre y observada bajo explotación activa el 3 de noviembre. Atlassian ha emitido un aviso en el que destaca que se han encontrado ataques relacionados con ransomware y exploits asociados a esta vulnerabilidad, lo cual justifica la urgencia de aplicar las correcciones disponibles.
Impacto potencial
Según el aviso emitido por Atlassian, la vulnerabilidad permite a un atacante no autenticado restablecer Confluence y crear una cuenta de administrador. Al utilizar esta cuenta, el atacante puede realizar todas las acciones administrativas disponibles para el administrador de la instancia, lo que conduce a una pérdida total de confidencialidad, integridad y disponibilidad.
Indicadores de compromiso
Los equipos de seguridad deben estar atentos a los siguientes signos de posible explotación:
- Pérdida de inicio de sesión o acceso
- Solicitudes a /json/setup-restore* en los registros de acceso a la red
- Instalación de complementos desconocidos, con informes observados de un complemento llamado «web.shell.Plugin»
- Archivos cifrados o datos corruptos
- Miembros inesperados del grupo de administradores de Confluence
- Cuentas de usuario inesperadas recién creadas
Recomendaciones y correcciones
Atlassian recomienda actualizar a las siguientes versiones para corregir la vulnerabilidad: 7.19.16, 8.3.4, 8.4.4, 8.5.3 y 8.6.1.
Busqueda de servidores afectados
Es posible encontrar servidores relacionados con los siguientes dorks:
- FOFA:
product="ATLASSIAN-Confluence" - SHODAN:
http.component:"Atlassian Confluence" - NETLAS.IO:
http.meta:"confluence-base-url"
Observaciones de terceros
Los investigadores de Rapid7 también han emitido una advertencia sobre la explotación de esta vulnerabilidad. A partir del 5 de noviembre, se ha observado la explotación en múltiples entornos de clientes, incluso para la implementación de ransomware.