Confluence Server와 Data Center에서 인증 없이 원격 코드 실행이 가능한 취약점(CVE-2022-26134)
1.3.0 이후의 Confluence Server와 Data Center 제품 버전에 영향
o 취약점 패치된 버전으로 업데이트 진행
o 패치가 불가능한 경우 임시 조치 방안
o 업로드된 웹쉘과 통신한 IP
|
IP |
Nation |
|
154.146.34.145 |
모로코 |
|
154.16.105.147 |
미국 |
|
156.146.34.46 |
일본 |
|
156.146.34.52 |
일본 |
|
156.146.34.9 |
일본 |
|
156.146.56.136 |
일본 |
|
198.147.22.148 |
미국 |
|
221.178.126.244 |
중국 |
|
45.43.19.91 |
미국 |
|
59.163.248.170 |
인도 |
|
64.64.228.239 |
미국 |
|
66.115.182.102 |
미국 |
|
66.115.182.111 |
미국 |
|
67.149.61.16 |
미국 |
|
98.32.230.38 |
미국 |
o File Upload Webshell
|
파일 이름 |
noop.jsp |
|
파일 크기 |
537 bytes |
|
MD5 |
f8df4dd46f02dc86d37d46cf4793e036 |
|
SHA1 |
4c02c3a150de6b70d6fca584c29888202cc1deef |
o Chopper Webshell
|
파일 이름 |
.jsp |
|
파일 크기 |
8624 bytes |
|
MD5 |
ea18fb65d92e1f0671f23372bacf60e7 |
|
SHA1 |
80b327ec19c7d14cc10511060ed3a4abffc821af |
|
Type |
Value |
Description |
|
URL String |
${ |
악성 페이로드를 만드는 데 사용되는 문자열 |
|
URL String |
javax.script.ScriptEngineManager |
악성 페이로드 제작을 위한 ScriptEngineManager를 나타내는 문자열 |
https://www.volexity.com/blog/2022/06/02/zero-day-exploitation-of-atlassian-confluence/
https://confluence.atlassian.com/doc/confluence-security-advisory-2022-06-02-1130377146.html
https://www.bleepingcomputer.com/news/security/exploit-released-for-atlassian-confluence-rce-bug-patch-now/
https://blog.cloudflare.com/cloudflare-observations-of-confluence-zero-day-cve-2022-26134/