CVE-2022-26134

Una falla de inyección OGNL en Confluence Server y Data Center permite a un atacante no autenticado colocar una expresión de Object-Graph Navigation Language en una URL de solicitud que Confluence luego evalúa del lado del servidor. Como las expresiones OGNL pueden invocar Java arbitrario, esa evaluación se convierte en ejecución de código arbitrario en el contexto del proceso de Confluence, sin inicio de sesión y sin interacción del usuario. Una sola solicitud GET elaborada basta para ejecutar comandos y depositar un web shell.

Esto fue explotado como día cero antes de que Atlassian publicara una corrección, y el escaneo masivo siguió a los pocos días de la divulgación, así que toda instancia que estuviera expuesta a internet durante esa ventana debe considerarse comprometida, no meramente parcheada. Confluence suele albergar la documentación interna, las credenciales y los secretos de integración de una organización, lo que lo convierte en un punto de pivote de alto valor y no en una aplicación aislada. Actualice a una versión corregida y luego investigue: busque procesos hijos inesperados del servidor web, archivos JSP/web shell recién escritos bajo el webroot de Confluence y conexiones salientes desde el host. Rote cualquier credencial o token que residiera en ese servidor o fuera accesible desde él.