Atlassian đã cảnh báo về một lỗ hổng thực thi mã từ xa chưa được vá nghiêm trọng ảnh hưởng đến các sản phẩm Máy chủ và Trung tâm Dữ liệu Confluence mà họ cho biết đang bị khai thác tích cực.
Công ty phần mềm Úc đã ghi nhận công ty an ninh mạng Volexity vì đã xác định được lỗ hổng, đang được theo dõi là CVE-2022-26134.
“Atlassian đã được biết về việc khai thác tích cực hiện tại lỗ hổng thực thi mã từ xa chưa được xác thực ở mức độ nghiêm trọng nghiêm trọng trong Máy chủ và Trung tâm Dữ liệu Hợp lưu”, nó cho biết trong một lời khuyên.
“Hiện tại không có phiên bản cố định của Máy chủ Hợp lưu và Trung tâm Dữ liệu. Atlassian đang làm việc với mức độ ưu tiên cao nhất để đưa ra bản sửa lỗi.” Các chi tiết cụ thể của lỗ hổng bảo mật đã được giữ lại cho đến khi có bản vá phần mềm.
Máy chủ hợp lưu phiên bản 7.18.0 được biết là đã bị khai thác trong tự nhiên, mặc dù Máy chủ hợp lưu và Trung tâm dữ liệu phiên bản 7.4.0 trở lên có khả năng dễ bị tấn công.
Trong trường hợp không có bản sửa lỗi, Atlassian đang kêu gọi khách hàng hạn chế các phiên bản Máy chủ hợp lưu và Trung tâm dữ liệu khỏi internet hoặc xem xét việc tắt hoàn toàn các phiên bản Máy chủ hợp lưu và Trung tâm dữ liệu.
Trong một tiết lộ độc lập, Volexity cho biết họ đã phát hiện hoạt động này vào cuối tuần trong Ngày Tưởng niệm ở Mỹ như một phần của cuộc điều tra ứng phó sự cố.
Chuỗi tấn công liên quan đến việc tận dụng khai thác Atlassian zero-day – một lỗ hổng chèn lệnh – để thực hiện mã từ xa chưa được xác thực trên máy chủ, cho phép tác nhân đe dọa sử dụng chỗ đứng để đánh rơi trình bao web Behinder.
Các nhà nghiên cứu cho biết: “Behinder cung cấp các khả năng rất mạnh mẽ cho những kẻ tấn công, bao gồm webhells chỉ có bộ nhớ và hỗ trợ tích hợp để tương tác với Meterpreter và Cobalt Strike. “Đồng thời, nó không cho phép tồn tại, có nghĩa là khởi động lại hoặc khởi động lại dịch vụ sẽ xóa sạch nó.”
Sau đó, web shell được cho là đã được sử dụng như một ống dẫn để triển khai hai web shell bổ sung vào đĩa, bao gồm China Chopper và một shell tải lên tệp tùy chỉnh để chuyển tệp tùy ý đến một máy chủ từ xa.
Sự phát triển diễn ra chưa đầy một năm sau khi một lỗ hổng thực thi mã từ xa quan trọng khác trong Atlassian Confluence (CVE-2021-26084, điểm CVSS: 9,8) được vũ khí hóa tích cực để cài đặt các công cụ khai thác tiền điện tử trên các máy chủ bị xâm phạm.
“Bằng cách khai thác loại lỗ hổng này, những kẻ tấn công có thể truy cập trực tiếp vào các hệ thống và mạng có độ nhạy cảm cao”, Volexity nói. “Hơn nữa, những hệ thống này thường có thể khó điều tra, vì chúng thiếu khả năng giám sát hoặc ghi nhật ký thích hợp.”
.
