CVE-2022-26134

Uma falha de injeção de OGNL no Confluence Server e Data Center permite que um atacante não autenticado insira uma expressão Object-Graph Navigation Language em uma URL de requisição que o Confluence então avalia no lado do servidor. Como as expressões OGNL podem chamar código Java arbitrário, essa avaliação se torna execução de código arbitrário no contexto do processo do Confluence, sem login e sem interação do usuário. Uma única requisição GET elaborada basta para executar comandos e implantar um web shell.

Isto foi explorado como zero-day antes de a Atlassian lançar uma correção, e a varredura em massa se seguiu poucos dias após a divulgação, portanto qualquer instância que estivesse exposta à internet durante essa janela deve ser considerada comprometida, não apenas corrigida. O Confluence costuma conter a documentação interna, credenciais e segredos de integração de uma organização, tornando-o um ponto de pivô de alto valor, e não uma aplicação isolada. Atualize para uma versão corrigida e, em seguida, investigue: procure por processos filhos inesperados do servidor web, arquivos de web shell JSP recém-criados sob a raiz web do Confluence e conexões de saída a partir do host. Rotacione quaisquer credenciais ou tokens que residissem nesse servidor ou fossem alcançáveis a partir dele.