Confluence OGNL RCE【CVE-2022-26134】

Atlassian Confluence（简称Confluence）是一个专业的wiki程序。它是一个知识管理的工具，通过它可以实现团队成员之间的协作和知识共享。团队将日常的工作任务进度管理、技术知识分享、开发文档、操作手册、文档附件都放置入Confluence中进行统一管理，富文本编辑器使文档内容支持更加丰富。

目前，Confluence被用于广泛地用于项目团队，开发团队，市场销售团队。

影响版本范围：

Confluence Server&Data Center ≥ 1.3.0
Atlassian Confluence Server and Data Center <7.4.17
Atlassian Confluence Server and Data Center <7.13.7
Atlassian Confluence Server and Data Center <7.14.3
Atlassian Confluence Server and Data Center <7.15.2
Atlassian Confluence Server and Data Center <7.16.4
Atlassian Confluence Server and Data Center <7.17.4
Atlassian Confluence Server and Data Center <7.18.1

环境搭建

这里使用vulhub

打开https://my.atlassian.com/license/evaluation注册账号，获取license key

key地址https://my.atlassian.com/products/index?sen=18812577&evalId=18812577&eval=true#license_18812577

将license key黏贴到站点中点击next，选择第一个非集群（单节点）

在填写数据库信息的页面，PostgreSQL数据库地址为db，数据库名称confluence，用户名密码均为postgres。

经过一段时间的加载之后，显示如下页面，在这一步失败了好几次，每次连接后台服务都会down，可能是因为虚拟机内存导致。我们选择Empty Site

利用脚本复现

脚本地址：https://github.com/0x14dli/cve2022-26134exp

修复方案：

• 升级Atlassian Confluence Server and Data Center至安全版本。
• 下载官方发布的xwork-1.0.3-atlassian-10.jar替换confluence/WEB-INF/lib/目录下原来的xwork jar文件，并重启Confluence。
• 拦截请求参数中包含getRuntime().exec(或/etc/passwd的流量。

参考：CVE-2022-26134 Confluence OGNL漏洞复现

【CVE-2022-26134】Confluence OGNL RCE 漏洞

atlassian官网：https://www.atlassian.com/zh/software/confluence/download-archives

docker下载地址：https://hub.docker.com/r/atlassian/confluence-server