בגרסאות Confluence Server ו-Confluence Data Center שלפני 8.5.4 קיימת חולשה שמאפשרת לתוקף מרוחק, בלי שם משתמש ובלי סיסמה, להריץ קוד על השרת עצמו. היצרן כתב שעל לקוחות שנמצאים בגרסה מושפעת לפעול מיד. הדירוג הוא 9.8 מתוך 10, והחולשה נכנסה לקטלוג החולשות המנוצלות של CISA בינואר 2024.
מה החולשה?
Confluence בונה חלק מהעמודים שלו מתוך תבניות, קבצים שמשלבים טקסט קבוע עם סימנים שהשרת מחליף בערכים אמיתיים ברגע ההצגה. החלוקה הזאת היא כל העניין: מהמשתמש השרת אמור לקבל את הערכים בלבד, ואת הסימנים הוא קובע בעצמו.
בחולשה הזאת אפשר להגניב תוכן שהשרת מתייחס אליו כאל חלק מהתבנית ולא כאל טקסט שצריך להציג. במקום להציג אותו הוא מריץ אותו, ומכיוון שהתבנית מורצת בתוך השרת ובהרשאותיו, התוצאה היא הרצת קוד על השרת, מה שמכונה RCE. לטכניקה הזאת קוראים הזרקה לתבנית, template injection.
אין כאן צורך בחשבון ואין צורך בהרשאה. פנייה אחת לשרת מספיקה.
מי מושפע?
ברשימה מופיעים Confluence Data Center ו-Confluence Server מגרסה 8.0.0 ועד 8.5.4, שהיא גרסת התיקון, וכן Data Center בגרסה 8.7.0. היצרן מציין שהגרסאות הנתמכות החדשות אינן מושפעות, מפני שהחולשה נסגרה אצלן ממילא במהלך עדכוני גרסה שגרתיים, עוד לפני שהיה ידוע שהיא קיימת.
המוצרים האלה הם ההתקנות שארגון מריץ על השרתים שלו. בישראל מדובר בעיקר בחברות הייטק ובארגונים גדולים שהוויקי הפנימי שלהם יושב אצלם בבית, ולא במשתמש הפרטי.
האם מנוצלת בפועל?
כן. ב-24 בינואר 2024 נכנסה החולשה לקטלוג ה-KEV של סוכנות הסייבר האמריקאית CISA, רשימת החולשות שידוע שתוקפים מנצלים בפועל, שמונה ימים אחרי שפורסמה ב-NVD ב-16 בינואר. בין הקישורים שמלווים את החולשה יש גם פרסום שמסביר בפירוט איך משמשים אותה, מה שמוריד את הידע הנדרש מתוקף כדי לנסות.
מה עושים?
עדכנו ל-8.5.4 ומעלה. זהו התיקון, והיצרן ממליץ להתקין את הגרסה העדכנית ביותר ולא להסתפק במינימום, גם בגלל חולשות נוספות שטופלו באותו עדכון. מי שמריץ Data Center בגרסה 8.7.0 מופיע גם הוא ברשימה, ולכן כדאי לעבור על ההודעה של Atlassian ולהתקין את מה שהיא מפנה אליו.
אם אי אפשר לעדכן עכשיו, הוציאו את השרת מהאינטרנט הפתוח. זה אינו תיקון, אבל הניצול מגיע כפנייה מהרשת, וצמצום הגישה מקטין את החשיפה בפועל.
אחרי העדכון כדאי לבדוק מה קרה לפניו. שרת שהיה חשוף לאינטרנט בגרסה מושפעת, בחולשה שמנוצלת בשטח, מצדיק מעבר על הלוגים ועל משימות מתוזמנות, קבצים ותהליכים שנוספו ואינכם יודעים מי יצר אותם.