CVE-2023-22515 Erkennung: Eine kritische Zero-Day-Schwachstelle in Confluence Data Center & Server unter aktiver Ausnutzung
Inhaltsverzeichnis:
Atlassian hat kürzlich Verteidiger über eine kritische Schwachstelle zur Privilegieneskalation in seiner Confluence-Software informiert. Das entdeckte Problem, das als CVE-2023-22515 identifiziert wurde, stellt erhebliche Risiken für betroffene Confluence-Installationen dar, da es aktiv von Angreifern genutzt wird.
Erkennung von CVE-2023-22515-Exploits
Angesichts der stetig zunehmenden Anzahl von CVEs, die in realen Angriffen ausgenutzt werden, bleibt die proaktive Erkennung von Schwachstellenausnutzungen eine der wichtigsten Anforderungen an den Inhalt. Aufgrund der wachsenden Risiken von CVE-2023-22515-Angriffen benötigen Organisationen relevante Erkennungsinhalte, um bösartige Aktivitäten rechtzeitig zu identifizieren und mögliche Sicherheitsverletzungen zu verhindern.
Die SOC Prime Plattform bietet eine kuratierte Sigma-Regel, die mit 28 SIEM-, EDR-, XDR- und Data Lake-Lösungen kompatibel ist, um Ausnutzungsversuche im Zusammenhang mit CVE-2023-22515 zu identifizieren. Die Erkennung ist mit dem MITRE ATT&CK®-Framework v12 abgestimmt, das Initiale Zugriffstaktiken mit dem Exploiting Public-Facing Applications (T1190) als entsprechende Technik anspricht.
Um den umfangreichen Erkennungsstack zur Erkennung von Trend-Schwachstellen zu erkunden, klicken Sie auf die Explore Detections Schaltfläche unten. Alle Regeln werden von einem umfassenden Cyber-Bedrohungskontext und CTI begleitet, um die Bedrohungsanalyse zu verbessern.
Zusätzlich können Sie Sigma-Regeln zur Erkennung der häufigsten Verhaltensweisen und Werkzeuge, die in destruktiven Angriffen verwendet werden, immer griffbereit haben. Nutzen Sie dazu die SOC Prime’s Smoking Gun List. Tauchen Sie in unsere umfassende Sammlung von Regeln ein, die dynamisch mit Inhalten zu neuen Bedrohungen aktualisiert wird.
CVE-2023-22515 Beschreibung
Atlassian hat kürzlich eine Sicherheitsmitteilung herausgegeben, die eine neue Zero-Day-Schwachstelle in seinem Confluence Data Center und Server betrifft. Der entdeckte Sicherheitsfehler mit der Bezeichnung CVE-2023-22515 und einer extrem hohen CVSS-Bewertung von 10 betrifft Confluence-Softwareversionen 8.0.0 und höher. Remote-Angreifer können die Schwachstelle leicht ausnutzen, ohne dass eine Benutzerinteraktion erforderlich ist, was die Risiken erhöht.
Auch wenn es nicht häufig vorkommt, gab es zuvor Fälle, in denen Schwachstellen zur Privilegieneskalation so hoch bei einer CVSS-Bewertung eingestuft wurden. Atlassian schlägt vor, dass CVE-2023-22515 möglicherweise aus der Ferne ausgenutzt werden könnte, eine Eigenschaft, die normalerweise mit einem Authentifizierungs-Bypass oder einer RCE-Kette verbunden ist, anstatt mit einem eigenständigen Privilegieneskalationsfehler, gemäß der Untersuchung von Rapid7. Letztere geht davon aus, dass CVE-2023-22515 möglicherweise die Anhebung von Kontorechten auf Administrator ermöglichen könnte, wodurch Angreifern grünes Licht gegeben wird, um die Infektion weiter zu verbreiten.
Um die Bedrohung zu beheben, wird empfohlen, dass potenziell kompromittierte Benutzer ihre lokalen Instanzen auf die gepatchten Softwareversionen aktualisieren. Als alternativer CVE-2023-22515-Minderungsschritt für Confluence-Instanzen, die nicht sofort gepatcht werden können, wird Verteidigern empfohlen, den externen Netzwerkzugriff zu beschränken und Zugangsbeschränkungen für die /setup/* Endpunkte innerhalb der Software zu implementieren.
Verteidiger gehen auch davon aus, dass die Veröffentlichung von Schwachstellen-Patches Angreifer dazu anregen kann, nach potenziellen blinden Flecken zu suchen und die Erstellung nutzbarer CVE-2023-22515 Exploit-Codes zu vereinfachen, was eine Stärkung der Bedrohungserkennung und Jagdfähigkeiten erfordert, um proaktiv gegen damit verbundene Angreiferkampagnen zu verteidigen. Verlassen Sie sich auf SOC Prime’s Threat Detection Marketplace , um nach brandneuen Erkennungsideen gegen aufkommende Bedrohungen, CVEs und die neuesten von Angreifern verwendeten TTPs zu suchen, Ihr Erkennungsinhalte zentral zu verwalten und in großem Maßstab bereitzustellen sowie Ihre Detection-as-Code-Projekte in einer sicheren Umgebung zu speichern — halten Sie alles griffbereit an einem Ort.
