Hackers explorando a vulnerabilidade de Zero-Day do Critical Atlassian Confluence sem correção
A Atlassian alertou sobre uma vulnerabilidade crítica de execução remota de código não corrigida que afeta os produtos Confluence Server e Data Center, que segundo ela estão sendo ativamente explorados na natureza.
A empresa de software australiana creditou a empresa de segurança cibernética Volexity por identificar a falha, que está sendo rastreada como CVE-2022-26134 .
“A Atlassian foi informada da atual exploração ativa de uma vulnerabilidade de execução remota de código não autenticado de gravidade crítica no Confluence Data Center and Server”, informou em um comunicado.
“Atualmente, não há versões fixas do Confluence Server e Data Center disponíveis. A Atlassian está trabalhando com a mais alta prioridade para emitir uma correção.” Os detalhes da falha de segurança foram retidos até que um patch de software esteja disponível.
Todas as versões com suporte do Confluence Server e Data Center são afetadas, embora seja esperado que todas as versões da solução corporativa sejam potencialmente vulneráveis. A primeira versão impactada ainda não foi determinada.
Na ausência de uma correção, a Atlassian está pedindo aos clientes que restrinjam as instâncias do Confluence Server e do Data Center da Internet ou considerem desabilitar as instâncias completamente. Como alternativa, recomendou a implementação de uma regra de firewall de aplicativo da Web (WAF) que bloqueia URLs contendo “${” para reduzir o risco.
A Volexity, em uma divulgação independente, informou que detectou a atividade no fim de semana do Memorial Day nos EUA como parte de uma investigação de resposta a incidentes.
A cadeia de ataque envolveu o aproveitamento da exploração de Zero-Day do Atlassian, uma vulnerabilidade de injeção de comando para obter a execução remota de código não autenticado no servidor, permitindo que o agente da ameaça usasse o ponto de apoio para descartar o shell da Web do Behinder.
” O Behinder fornece recursos muito poderosos para invasores, incluindo webshells somente de memória e suporte integrado para interação com Meterpreter e Cobalt Strike”, informaram os pesquisadores . “Ao mesmo tempo, não permite persistência, o que significa que uma reinicialização ou reinicialização do serviço o eliminará.”
Posteriormente, o shell da web teria sido empregado como um canal para implantar dois shells da web adicionais no disco, incluindo o China Chopper e um shell de upload de arquivo personalizado para exfiltrar arquivos arbitrários para um servidor remoto.
O desenvolvimento ocorre menos de um ano depois que outra falha crítica de execução remota de código no Atlassian Confluence ( CVE-2021-26084 , pontuação CVSS: 9,8) foi ativamente armada para instalar mineradores de criptomoedas em servidores comprometidos.
“Ao explorar esse tipo de vulnerabilidade, os invasores podem obter acesso direto a sistemas e redes altamente confidenciais”, disse Volexity. “Além disso, esses sistemas podem ser difíceis de investigar, pois não possuem os recursos apropriados de monitoramento ou registro.”
Este artigo é uma tradução de: https://thehackernews.com/2022/06/hackers-exploiting-unpatched-critical.html (Autor: )
