CVE-2023-22527

Esta es una inyección de plantillas del lado del servidor en la ruta de manejo de solicitudes de Confluence Data Center y Server. Las versiones más antiguas evalúan la entrada controlada por el atacante como una plantilla OGNL/Velocity, de modo que un atacante no autenticado que envíe una solicitud diseñada logra que su entrada se interprete como código en lugar de datos. Eso produce ejecución remota de código directa en la instancia de Confluence sin inicio de sesión ni interacción del usuario, y la inyección se puede alcanzar a través de un endpoint normalmente accesible.

Confluence es una base de conocimiento central que contiene documentación interna, notas de arquitectura y con frecuencia credenciales y tokens incrustados, lo que hace que cualquier RCE en ella sea un punto de apoyo de alto valor. Atlassian lo calificó como crítico e instó a tomar medidas inmediatas, y la explotación masiva con código de prueba de concepto público siguió en pocos días, alimentando la criptominería, el despliegue de web shells y la intrusión más amplia. Confluence tiene un largo historial como producto atacado repetidamente, así que las instancias expuestas se encuentran rápido. Actualice a una versión corregida de inmediato; dada la rapidez con que comenzó la explotación, trate cualquier instancia alcanzable desde internet como potencialmente comprometida y busque plantillas inyectadas, cuentas de administrador inesperadas y web shells en lugar de confiar solo en el parche.