作者：xxhzz@星闌科技PortalLab
原文鏈接：https://mp.weixin.qq.com/s/HRqWtQh1q1R--NDIlHLCMA

漏洞描述

7月21日，Atlassian官方發布了2022年7月的安全更新，其中涉及到Confluence Server的多個漏洞，其中CVE-2022-26138為一個硬編碼漏洞。

當Confluence Server或Data Center上的Questions for Confluence app啟用時，它會創建一個名為disabledsystemuser的Confluence用戶帳戶。此帳戶旨在幫助將數據從應用程序遷移到 Confluence Cloud的管理員賬號中。該帳戶通過使用硬編碼密碼創建并添加到confluence-users組中，在默認情況下允許查看和編輯 Confluence 中的所有非受限頁面。未經身份驗證攻擊者可以利用所知的硬編碼密碼登錄Confluence并訪問該組有權限訪問的所有頁面。

相關介紹

Atlassian Confluence Server是澳大利亞Atlassian公司的一套具有企業知識管理功能，并支持用于構建企業WiKi的協同軟件的服務器版本。

利用范圍

Questions for Confluence app == 2.7.34

Questions for Confluence app == 2.7.35

Questions for Confluence app == 3.0.2

漏洞分析

環境搭建

此次漏洞分析環境可參考CVE-2022-26134 Confluence OGNL RCE 漏洞分析。

進行搭建。分析源碼為confluence-questions-3.0.2.jar或者另外兩個版本。

代碼分析

動態調試之前，在配置文件default.properties中可以找到所創建用戶的相關信息，其中的username和password都是固定的。

緊接著在com.atlassian.confluence.plugins.questions.util#BuildInformationManager處打下斷點。

開啟debug模式，隨后在confluence中上傳confluence-questions.jar應用。

在安裝應用的過程中，會從配置文件中獲取到固定的賬號信息。

隨后進入com.atlassian.confluence.plugins.questions.service.UserCreatorServiceImpl

實例化UserCreatorServiceImpl對象。

繼續跟進，會進入下面的addPredefinedPermittedDisabledUser方法。

在此，固定disabledsystemuser用戶完成創建并將其添加到confluence-users組。

漏洞復現

成功上傳Questions for Confluence應用程序。

使用硬編碼密碼創建的賬號進行登錄。

成功登錄，且該用戶擁有管理員權限。

修復建議

參考官方公告中的修復建議：

更新Questions for Confluence擴展至以下安全版本:

2.7.x >= 2.7.38 (Confluence 6.13.18 到 7.16.2)

Versions >= 3.0.5 (Confluence 7.16.3 之后的版本)

參考材料

1.https://confluence.atlassian.com/doc/questions-for-confluence-security-advisory-2022-07-20-1142446709.html

Paper 本文由 Seebug Paper 發布，如需轉載請注明來源。本文地址：http://www.bjnorthway.com/1989/