CVE-2023-22527

Esta é uma injeção de template do lado do servidor no caminho de tratamento de requisições do Confluence Data Center e Server. Versões mais antigas avaliam a entrada controlada pelo atacante como um template OGNL/Velocity, de modo que um atacante não autenticado que envie uma requisição elaborada tem sua entrada interpretada como código, e não como dado. Isso resulta em execução remota de código direta na instância do Confluence, sem login e sem interação do usuário, e a injeção pode ser alcançada por meio de um endpoint normalmente acessível.

O Confluence é uma base de conhecimento central que contém documentação interna, notas de arquitetura e, frequentemente, credenciais e tokens embutidos, o que torna qualquer RCE nele uma posição inicial de alto valor. A Atlassian classificou como crítico e instou a ação imediata, e a exploração em massa com código de prova de conceito público veio em poucos dias, alimentando mineração de criptomoedas, implantação de web shells e intrusões mais amplas. O Confluence tem um longo histórico como produto repetidamente visado, então instâncias expostas são encontradas rapidamente. Atualize para uma versão corrigida imediatamente; dada a rapidez com que a exploração começou, trate qualquer instância acessível pela internet como potencialmente comprometida e procure por templates injetados, contas de administrador inesperadas e web shells, em vez de confiar apenas na correção.