Atlassian a mis en garde contre une vuln\u00e9rabilit\u00e9 critique d’ex\u00e9cution de code \u00e0 distance non corrig\u00e9e affectant les produits Confluence Server et Data Center qui, selon lui, sont activement exploit\u00e9s dans la nature.<\/p>\n
La soci\u00e9t\u00e9 de logiciels australienne a cr\u00e9dit\u00e9 la soci\u00e9t\u00e9 de cybers\u00e9curit\u00e9 Volexity pour avoir identifi\u00e9 la faille, qui est suivie comme CVE-2022-26134<\/strong>.<\/p>\n “Atlassian a \u00e9t\u00e9 inform\u00e9 de l’exploitation active actuelle d’une vuln\u00e9rabilit\u00e9 d’ex\u00e9cution de code \u00e0 distance non authentifi\u00e9e de gravit\u00e9 critique dans le centre de donn\u00e9es et le serveur Confluence”, a-t-il d\u00e9clar\u00e9. a dit<\/a> dans un avis.<\/p>\n “Il n’y a actuellement aucune version fixe de Confluence Server et Data Center disponible. Atlassian travaille avec la plus haute priorit\u00e9 pour publier un correctif.” Les d\u00e9tails de la faille de s\u00e9curit\u00e9 ont \u00e9t\u00e9 retenus jusqu’\u00e0 ce qu’un correctif logiciel soit disponible.<\/p>\n Toutes les versions prises en charge de Confluence Server et Data Center sont affect\u00e9es, bien qu’il soit pr\u00e9vu que toutes les versions de la solution d’entreprise soient potentiellement vuln\u00e9rables. La premi\u00e8re version impact\u00e9e reste \u00e0 d\u00e9terminer.<\/p>\n En l’absence de correctif, Atlassian exhorte les clients \u00e0 restreindre les instances Confluence Server et Data Center \u00e0 partir d’Internet ou \u00e0 envisager de d\u00e9sactiver compl\u00e8tement les instances Confluence Server et Data Center.<\/p>\n Volexity, dans une divulgation ind\u00e9pendante, a d\u00e9clar\u00e9 avoir d\u00e9tect\u00e9 l’activit\u00e9 au cours du week-end du Memorial Day aux \u00c9tats-Unis dans le cadre d’une enqu\u00eate sur la r\u00e9ponse \u00e0 l’incident.<\/p>\n La cha\u00eene d’attaque impliquait de tirer parti de l’exploit Atlassian zero-day – une vuln\u00e9rabilit\u00e9 d’injection de commande – pour r\u00e9aliser une ex\u00e9cution de code \u00e0 distance non authentifi\u00e9e sur le serveur, permettant \u00e0 l’auteur de la menace d’utiliser le pied pour supprimer le shell Web Behinder.<\/p>\n “Derri\u00e8re<\/a> fournit des capacit\u00e9s tr\u00e8s puissantes aux attaquants, notamment des webshells \u00e0 m\u00e9moire uniquement et une prise en charge int\u00e9gr\u00e9e de l’interaction avec Meterpreter et Cobalt Strike \u00bb, ont d\u00e9clar\u00e9 les chercheurs. a dit<\/a>. “En m\u00eame temps, il ne permet pas la persistance, ce qui signifie qu’un red\u00e9marrage ou un red\u00e9marrage du service l’effacera.”<\/p>\n Par la suite, le shell Web aurait \u00e9t\u00e9 utilis\u00e9 comme conduit pour d\u00e9ployer deux shells Web suppl\u00e9mentaires sur le disque, y compris Hachoir de Chine<\/a> et un shell de t\u00e9l\u00e9chargement de fichiers personnalis\u00e9 pour exfiltrer des fichiers arbitraires vers un serveur distant.<\/p>\n Le d\u00e9veloppement intervient moins d’un an apr\u00e8s qu’une autre faille critique d’ex\u00e9cution de code \u00e0 distance dans Atlassian Confluence (CVE-2021-26084, score CVSS\u00a0: 9,8) a \u00e9t\u00e9 activement militaris\u00e9e dans la nature pour installer des mineurs de crypto-monnaie sur des serveurs compromis.<\/p>\n “En exploitant ce type de vuln\u00e9rabilit\u00e9, les attaquants peuvent acc\u00e9der directement \u00e0 des syst\u00e8mes et r\u00e9seaux hautement sensibles”, a d\u00e9clar\u00e9 Volexity. “De plus, ces syst\u00e8mes peuvent souvent \u00eatre difficiles \u00e0 \u00e9tudier, car ils ne disposent pas des capacit\u00e9s de surveillance ou de journalisation appropri\u00e9es.”<\/p>\n <\/p>\n<\/div>\n![\"La](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2022\/05\/Le-package-PyPI-populaire-ctx-et-la-bibliotheque-PHP-phpass.png\")
<\/a><\/div>\n![\"La](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2022\/04\/1650021915_454_Haskers-Gang-donne-gratuitement-le-logiciel-malveillant-ZingoStealer-a-dautres.jpg\")
<\/a><\/div>\n