CVE-2023-22527 Erkennung: Höchst schwerwiegende RCE-Schwachstelle in Atlassians Confluence Server und Data Center in freier Wildbahn ausgenutzt
Inhaltsverzeichnis:
Gegner führen hochkarätige Angriffe im freien Feld durch, indem sie RCE-Schwachstellen ausnutzen die Atlassian Confluence-Server betreffen. Eine neu entdeckte RCE-Schwachstelle in Confluence Data Center und Confluence Server wurde nur wenige Tage nach ihrer Entdeckung unter aktiver Ausnutzung beobachtet. Der kritische Fehler, der als CVE-2023-22527 verfolgt wird, hat den höchstmöglichen CVSS-Wert von 10,0 und betrifft veraltete Atlassian Confluence-Server.
Erkennung von CVE-2023-22527-Ausbeutungsversuchen
Angesichts der rund 30.000 neu gemeldeten Schwachstellen im Jahr 2023 und eines ständig wachsenden Trends für die kommenden Jahre benötigen Cybersicherheitsfachleute eine innovative Lösung, um Ausnutzungen rechtzeitig zu erkennen und die Infrastruktur der Organisation proaktiv zu verteidigen.
Angesichts der kritischen Schwere des Fehlers und der weit verbreiteten Einführung von Atlassian-Lösungen durch Unternehmen weltweit ist es wichtig, eine zuverlässige Quelle für Erkennungsinhalte zu haben, um verwandte Cyberangriffe in den frühesten Entwicklungsstadien zu identifizieren.
Die oben von dem SOC Prime-Team bereitgestellte Regel hilft dabei, mögliche CVE-2023-22527 Remote Code Execution zu identifizieren, um anfänglichen Zugriff auf anfällige Anwendungen zu erlangen. Für eine reibungslose Leistung erfordert die Regel das Protokollieren von POST-Anfragedaten für jede Anfrage. Die Erkennung ist kompatibel mit 13 SIEM-, EDR-, XDR- und Data-Lake-Lösungen und wird mit MITRE ATT&CK v14 abgeglichen, wobei die Taktik des anfänglichen Zugriffs und Exploit Public-Facing Applications (T1190) als Haupttechnik behandelt wird.
Um stets über Angriffe informiert zu bleiben, die sich auf neue CVEs stützen, vertiefen Sie sich in die gesamte Sammlung relevanter Regeln und Jagdabfragen, die im Threat Detection Marketplace von SOC Prime verfügbar sind. Klicken Sie auf die Schaltfläche Erkennung erkunden und greifen Sie auf den umfangreichen Erkennungsstapel mit dem vollständigen Bedrohungskontext zu Ihren Händen zu.
CVE-2023-22527 Analyse
Am 16. Januar 2023 veröffentlichte Atlassian Confluence ein Sicherheitsbulletin, das die Kunden des Unternehmens über eine neue kritische RCE-Schwachstellenmeldung informiert. Eine als CVE-2023-22527 bekannte Vorlageninjektionsschwachstelle ermöglicht es nicht authentifizierten Angreifern, RCE auf betroffenen Softwareinstanzen zu aktivieren. Die Schwachstelle, die auf der CVSS-Skala mit 10,0 bewertet wurde und auf eine äußerst kritische Schwere hinweist, stellt eine Bedrohung für veraltete Softwareversionen dar, die vor dem 5. Dezember 2023 veröffentlicht wurden, zusammen mit der Version 8.4.5, die keine Backport-Fixes mehr erhält.
Laut dem Bedrohungsüberwachungsdienst von Shadowservergab es bereits über 40.000 Ausnutzungsversuche, die CVE-2023-22527 weaponisieren, mit im freien Feld vorkommenden Angriffen von etwas mehr als 600 verschiedenen IP-Adressen ausgehend. Bemerkenswerterweise sind über 20.000 der identifizierten IP-Adressen Russland zugeordnet.
Was die Maßnahmen zur Minderung von CVE-2023-22527 betrifft, hat Atlassian keine Workaround angeboten. Um die Bedrohung zu beheben, wird den Kunden dringend empfohlen, jedes betroffene Produkt auf die neueste verfügbare Version zu aktualisieren. Obwohl die neuesten unterstützten Versionen der Confluence-Endpunkte von diesem Fehler unberührt bleiben, rät Atlassian seinen Kunden, auf die neueste Softwareversion zu patchen, um sicherzustellen, dass die Server vor potenziellen unkritischen Sicherheitsfehlern vollständig geschützt sind.
Verteidiger können versuchen, nach Dutzenden von anbieterunabhängigen Regeln und Abfragen bei SOC Prime zu suchen, um Bedrohungen zu erkennen, die Atlassian Confluence-Endpunktebetreffen, einschließlich bekannter Zero-Days und CVEs. Erkunden Sie den relevanten Cyberbedrohungskontext, einschließlich ATT&CK-Referenzen und -Minderungen, mit Erkennungen verknüpften Binärdateien und anderen umsetzbaren Metadaten, um Ihre Bedrohungsuntersuchungsroutine zu unterstützen.
