Confluence Data Center et Confluence Server sont affectés par une importante faille de sécurité. Révélée il y a une semaine par Atlassian, l’éditeur des produits, elle est activement exploitée depuis ce week-end. Elle permet d’obtenir un compte administrateur.

Atlassian n'est pas forcément connue du grand public, mais cette entreprise australienne commercialise des produits largement utilisés dans le monde professionnel. On la connait notamment pour Jira et surtout Trello.

Or, un petit vent de panique souffle actuellement chez Atlassian et une partie de sa clientèle. Confluence Data Center et Confluence Server, deux produits centrés sur la collaboration, le travail en équipe, la mise en commun, l’organisation et le wiki, sont en effet au centre de l'attention. Cette solution, labellisée simplement Confluence, peut être utilisée dans le cloud d’Atlassian ou sur site. Et justement, les versions sur site sont percées d’une importante faille qu’il est urgent de colmater par une mise à jour.

Cette faille, estampillée CVE-2023-22518, a été révélée il y a une semaine, accompagnée de mises à jour pour les produits concernés. Cependant, dans les jours qui ont suivi, la brèche a été examinée de près par plusieurs chercheurs, et les détails ont commencé à affluer. Il n’a pas fallu longtemps pour que les premières exploitations voient le jour. Dès ce week-end, plusieurs entreprises en faisaient les frais. Or, la faille est simple à exploiter et permet beaucoup.

Une faille critique

La vulnérabilité CVE-2023-22518 est clairement critique et correspond au pire des scénarios : elle peut être exploitée à distance pour aboutir à l’exécution de commandes arbitraires.

C’est ce qui se passe depuis ce week-end, comme l’observe notamment la société de sécurité Rapid7 dans un billet publié hier. Les chercheurs ont observés une chaine de processus d’exécution semblables chez divers clients Confluence qui ont choisi de rendre leurs serveurs accessibles sur Internet. Une telle cohérence est le signe, selon eux, d’une exploitation de masse.

La faille est de type « Improper Authorization » et permet de contourner l’authentification dans les deux produits Confluence. Elle est exploitée par l’envoi de requêtes spécialement conçues, permettant alors aux acteurs malveillants d’obtenir un compte administrateur. De là, un boulevard leur est ouvert, qui leur a notamment servi à déployer des ransomwares.

« Dans de multiples chaînes d'attaque, Rapid7 a observé l'exécution de commandes post-exploitation pour télécharger une charge utile malveillante hébergée à 193.43.72[.]11 et/ou 193.176.179[.]41, ce qui, en cas de succès, a conduit au déploiement d'un ransomware Cerber […] », indique ainsi Rapid7.

En tant que telle, la vulnérabilité ne permet pas directement l’exfiltration de données. Mais, comme indiqué par Atlassian, elle permet la modification de l’état du serveur et l’installation d’une charge utile provenant d’une source malveillante. Cette charge peut prendre les données en otage.

Une dangerosité révisée à la hausse

Dans son bulletin initial du 31 octobre, Atlassian ne prenait déjà pas de gants : « Toutes les versions de Confluence Data Center et Server sont affectées par cette vulnérabilité non exploitée. Cette vulnérabilité de type Improper Authorization permet à un attaquant non authentifié de réinitialiser Confluence et de créer un compte administrateur de l'instance Confluence. En utilisant ce compte, un attaquant peut alors effectuer toutes les actions disponibles pour l'administrateur de l'instance de Confluence, ce qui entraîne – mais sans s'y limiter – une perte totale de la confidentialité, de l'intégrité et de la disponibilité ».

La note attribuée était déjà de 9,1 sur 10 (toujours à 9,1 sur le site du NIST, mais critique dans tous les cas). Dans la même journée cependant, une première mise à jour de Bala Sathiamurthy, responsable de la sécurité chez Atlassian, indiquait que les clients étaient vulnérables à « une importante perte de données ». À ce moment, aucune exploitation n’était encore à signaler, mais l’entreprise prévenait ses clients qu’ils devaient mettre à jour leurs produits sur site sans tarder, évoquant des « mesures immédiates », dont les mots étaient en gras et soulignés.

Deux jours plus tard, nouvelle mise à jour. Atlassian dit avoir « observé que des informations critiques sur la vulnérabilité ont été publiées, ce qui augmente le risque d'exploitation ». On ne sait pas si l’entreprise a souhaité critiquer les personnes qui ont publié des informations sur la faille dans les jours qui ont suivi, à l’instar de Petrus Viet, qui a montré l’efficacité de l’exploitation dans une vidéo sur Mastodon.

Le 3 novembre, nouvelle mise à jour, cette fois pour avertir qu’un client a remonté une exploitation active. Atlassian insiste à nouveau sur l’urgence de la mise à jour. La dernière mise à jour date du 6 novembre et fait état de multiples exploitations.

L’entreprise indique avoir relevé la note CVSS à 10, « en raison de l’évolution de la portée de l’attaque ». La faille en elle-même n’a pas changé, mais sa dangerosité prend désormais en compte une exploitation très active par des acteurs malveillants.

Un nombre croissant de victimes

Les exploitations de la faille ont pris de l’ampleur à partir de dimanche. Elles continuent à l’heure actuelle. Les entreprises visées sont situées dans de nombreux pays, dont les États-Unis, Taïwan, l’Ukraine, la Géorgie, la Lettonie ou encore la Moldavie.

Selon Andrew Morris, PDG de la société de sécurité GreyNoise, les attaques proviennent systématiquement des trois mêmes adresses IP :

• 176.179[.]41
• 43.72[.]11
• 145.6[.]112

The DFIR Report a publié sur X (Twitter) une série de captures montrant notamment le message reçu par l’une des victimes, de la part d’un groupe se nommant C3RB3R, connu pour le ransomware du même nom.

Dans les autres captures, on peut observer par exemple la tentative de mouvement latéral post-exploit vers d’autres parties du réseau. Une fois dans le réseau interne, ils peuvent par exemple tenter leur chance sur le port SMB/445.

🚨Confluence exploit (CVE-2023-22518) Leads to C3RB3R Ransomware🚨

➡️Exploit source: 193.187.172.73
➡️Download & Exec: http://193[.]187[.]172[.]73/tmp[.]1u
➡️Lateral Movement: Attempts to spread over SMB/445
➡️Extension: LOCK3D

h/t @GreyNoiseIO pic.twitter.com/VdO5EUjPOj

— The DFIR Report (@TheDFIRReport) November 6, 2023

Le rapport de Rapid7 pointe pour sa part plusieurs processus parents et enfants dont la présence doit être surveillée sur les serveurs Linux et Windows car ils font partie de l’attaque.

À chaque fois, la commande whoami est utilisée pour afficher le nom de l’usager et son identificateur effectif (UID). Ses groupes et sa règle d’authentification sont également indiqués. Après quoi, des commandes sont exécutés en Base64 pour en générer d’autres, en Python 2 ou 3.

Une mise à jour urgente

Atlassian insiste depuis une semaine sur la dangerosité de la faille et l’urgence de la situation. Les versions 7.19.16, 8.3.4, 8.4.4, 8.5.3 et 8.6.1 sont corrigées et doivent être installées aussi rapidement que possible.

Si pour une raison ou une autre l’application du correctif est impossible, il est recommandé de couper l’accès internet des serveurs Confluence. Une autre solution d’atténuation est de désactiver les points d’extrémité suivants :

• /json/setup-restore.action
• /json/setup-restore-local.action
• /json/setup-restore-progress.action