Explotación de errores críticos de Atlassian ya está disponible; Se requiere parche inmediato

El código de explotación de prueba de concepto (PoC) para una vulnerabilidad crítica revelada por Atlassian en su centro de datos y tecnología de servidor Confluence se ha hecho público, lo que aumenta la necesidad de que las organizaciones que utilizan la plataforma de colaboración apliquen la solución de la empresa de inmediato.

ShadowServer, que monitorea Internet en busca de actividad maliciosa, informó el 3 de noviembre que había observado intentos de explotar la vulnerabilidad Atlassian desde al menos 36 direcciones IP únicas en las últimas 24 horas.

Atlassiano anunció la gravedad casi máxima Error (9,1 sobre 10 en la escala CVSS) el 31 de octubre, con una advertencia del CISO de que la vulnerabilidad, si se explota, supone un riesgo de «pérdida significativa de datos».

Información de vulnerabilidad disponible públicamente

Al error se le ha asignado el identificador. CVE-2023-22518, afecta a los clientes de todas las versiones de Atlassian Data Center y Atlassian Server, pero no a aquellos que utilizan las versiones de estas tecnologías alojadas en la nube de la empresa. La descripción del error que hizo Atlassian señaló que se trataba de un problema con baja complejidad de ataque, sin interacción del usuario y algo que un atacante con pocos o ningún privilegio especial podría explotar.

La vulnerabilidad está relacionada con una autorización inadecuada, que es esencialmente una vulnerabilidad que permite a un atacante acceder a funciones y datos privilegiados en una aplicación. En este caso, un atacante que aproveche la vulnerabilidad podría eliminar o bloquear el acceso a los datos en una instancia de Confluence. Sin embargo, según un análisis de inteligencia de seguridad, no podrían extraer datos del mismo. Efecto de campo.

El 2 de noviembre, Atlassian actualizó su alerta de vulnerabilidad del 31 de octubre con una advertencia de que los detalles técnicos de CVE-2023-22518 estarían disponibles públicamente. La información aumenta el riesgo de que los atacantes aprovechen la vulnerabilidad, dijo Atlassian. «Aún no hay informes de un exploit activo, sin embargo, los clientes deben tomar medidas inmediatas para proteger sus instancias», dijo la compañía. El consejo se hizo eco de la recomendación de Atlassian cuando la compañía reveló el error por primera vez a principios de esta semana. La compañía recomienda que las organizaciones que no puedan parchear eliminen inmediatamente sus instancias de Confluence de Internet hasta que puedan parchear.

Gran cantidad de sistemas expuestos

ShadowServer describió la creciente actividad de explotación como intentos de cargar archivos y configurar o restaurar instancias vulnerables de Confluence accesibles desde la web.

“Miraremos a nuestro alrededor 24K expuesto (no necesariamente vulnerable)”, dijo ShadowServer sobre las instancias de Atlassian Confluence. Un gran número de los sistemas expuestos (aproximadamente 5.500) se encuentran en los Estados Unidos. Otros países con un número relativamente alto de sistemas de Atlassian Confluence expuestos incluyen China con alrededor de 3.000 sistemas y Alemania con 2.000 y Japón con alrededor de 1.400 casos expuestos.

CVE-2023-22518 es la segunda vulnerabilidad importante revelada por Atlassian el mes pasado en sus tecnologías de colaboración ampliamente utilizadas Confluence Data Center y Confluence Server. El 4 de octubre, la empresa anunció CVE-2023-22515, un error de control de acceso de máxima gravedad. Atlassian solo descubrió el error después de que algunos clientes con instancias de servidor y centro de datos de Confluence de acceso público informaron problemas con él. Atlassian identificó más tarde al atacante como un actor de estado-nación.

Al igual que el nuevo error, CVE-2023-22515 también se refería a una baja complejidad de ataque. Las preocupaciones sobre la facilidad con la que podría explotarse llevaron a una declaración conjunta de la Agencia de Infraestructura y Ciberseguridad de EE. UU., el FBI y el Centro de Análisis e Intercambio de Información Multiestatal (MS-ISAC). El aviso advirtió a las organizaciones que se prepararan para una actividad de explotación generalizada y las instó a corregir la vulnerabilidad lo más rápido posible.