Atlassian מסרה שהחולשה הזאת הגיעה לידיעתה מכמה לקוחות שכבר הותקפו: תוקפים מבחוץ פתחו לעצמם חשבונות מנהל בשרתי Confluence שהיו חשופים לאינטרנט, ומשם נכנסו לתכנים. הדירוג הוא 9.8 מתוך 10. התקנות הענן של Atlassian, אלה שנגישות בכתובת atlassian.net, אינן מושפעות.
מה החולשה?
Confluence הוא שרת ויקי ארגוני, המקום שבו חברות מחזיקות תיעוד פנימי, נהלים ומסמכי עבודה. כשההתקנה היא Server או Data Center, כלומר השרת רץ אצל הארגון עצמו ולא בענן של היצרן, גם האחריות לעדכן אותו היא של הארגון.
החולשה היא בבדיקת הקלט של השרת. פנייה שמנסה להגיע למצב שאמור להיות פתוח רק בהתקנה ראשונית אינה נדחית כפי שצריך, ובעקבות זאת אפשר לרשום בשרת חשבון עם הרשאות מנהל מערכת. מכאן זה פשוט: מי שיש לו חשבון מנהל רואה הכול ויכול לשנות הכול, בלי להזדקק לחולשה נוספת.
מה שחשוב בסיפור הזה הוא הסדר שבו הדברים קרו. לפי Atlassian, החולשה לא נמצאה בבדיקה פנימית ותוקנה לפני שמישהו ניצל אותה, אלא נחשפה דרך לקוחות שדיווחו על תקיפה. כלומר התוקפים הכירו אותה קודם.
מי מושפע?
המוצרים שברשימה הם Confluence Data Center ו-Confluence Server, בטווחים 8.0.0 עד 8.3.3, 8.4.0 עד 8.4.3 ו-8.5.0 עד 8.5.2, כאשר הגרסה שבסוף כל טווח היא הגרסה המתוקנת. היצרן מציין במפורש שאתרי הענן שלו, אלה שהכתובת שלהם מסתיימת ב-atlassian.net, אינם מושפעים.
בישראל זה נוגע לארגונים ולחברות שמריצות Confluence על השרתים שלהן, ולא לגולש הפרטי. אם אתם עובדים בארגון כזה ואינכם מנהלי המערכת, הדבר המועיל היחיד שאפשר לעשות הוא לוודא שמי שכן אחראי מכיר את העדכון.
האם מנוצלת בפועל?
כן, והניצול קדם לפרסום. CISA הכניסה את החולשה לקטלוג ה-KEV שלה, רשימת החולשות שידוע שתוקפים מנצלים בשטח, ב-5 באוקטובר 2023, יום אחד אחרי שהיא פורסמה ב-NVD. שרת Confluence שחשוף לאינטרנט נמצא בלי מאמץ מיוחד, ולכן העדכון דחוף בו יותר מבשרת שיושב רק בתוך הרשת הפנימית.
מה עושים?
עדכנו ל-8.3.3, ל-8.4.3 או ל-8.5.2 ומעלה, לפי הטווח שהגרסה שלכם נמצאת בו. זה התיקון, וכל השאר הוא צמצום חשיפה עד שהוא מותקן.
עד לעדכון, חסמו את הגישה לשרת מהאינטרנט הפתוח והשאירו אותו נגיש רק מתוך הרשת או דרך VPN. הניצול מגיע מבחוץ, ולכן זה משנה.
אחרי העדכון עברו על רשימת חשבונות המנהל בשרת. העדכון סוגר את הדרך פנימה, אבל הוא אינו מוחק חשבון שתוקף יצר לפניו, וחשבון מנהל שאינכם מזהים הוא הסימן המובהק כאן. אם מצאתם כזה, התייחסו לזה כאירוע אבטחה ולא כתקלה. Atlassian פרסמה שאלות ותשובות על החולשה ובהן גם הנחיות בדיקה.