Вразливість сервера Atlassian Confluence експлуатується в атаках

Критична вразливість у корпоративному серверному застосунку Confluence компанії Atlassian, що дає змогу виконувати шкідливі команди та перезавантажувати сервер, активно експлуатується в атаках зі встановленням програм-вимагачів, про що повідомляє arstechnica.com.

Вразливість під назвою CVE-2023-22518 є вразливістю обходу автентифікації, що допомагає зловмисникам відновити базу даних і виконати шкідливі команди. Гленн Торп, старший директор із досліджень безпеки в GreyNoise, повідомив про початок широкої експлуатації цієї вразливості, що становить значний ризик втрати даних, причому атакують здебільшого IP-адреси, пов’язані з Україною.

Торп зазначив, що між 12 годиною ночі та 8 годиною ранку за Гринвічем у неділю три різні IP-адреси ініціювали атаки, що використовували цю вразливість. Хоча ці IP-адреси припинили атаки, Торп підозрює, що використання вразливості продовжується. Скриншоти зі звіту з цифрової криміналістики та реагування на інциденти (Digital Forensics and Incident Response, DFIR) продемонстрували вимоги викупу від групи під назвою C3RB3R, що вказує на латеральне переміщення між мережею жертви та джерелом атаки після експлуатації вразливості.

Безпекові компанії Rapid7 і Tenable також зафіксували атаки, що розпочалися на вихідних. Деніел Лайдон і Конор Квінн із Rapid7 повідомили, що їхня служба керованого виявлення та реагування (Managed Detection and Response, MDR) зафіксувала експлуатацію Atlassian Confluence, що підтверджує атаки, спрямовані на CVE-2023-22518 — вразливість неналежної авторизації, яка впливає на Confluence Data Center і Confluence Server. Спеціалісти Rapid7 виявили однотипні вразливості в різних середовищах, що свідчить про масову експлуатацію, яка призводить до розгортання програми-вимагача Cerber на експлуатованих серверах Confluence.

CVE-2023-22518, вразливість неналежної авторизації, використовується на серверах Confluence, що виходять в інтернет, через спеціально створені запити на налаштування та відновлення кінцевих точок. Компанія Atlassian, постачальник Confluence, розповіла про цю вразливість, попередивши клієнтів про значну втрату даних у разі її використання. В умовах активної експлуатації організаціям, які користуються вразливими локальними серверами Confluence, рекомендується негайно встановити виправлення або тимчасово відключити їх від інтернету. Вимкнення певних кінцевих точок є ще однією ризикованою стратегією пом’якшення наслідків.

Попри неодноразові заклики Atlassian до негайних дій, простота й ефективність експлойтів підвищують імовірність того, що зловмисники намагатимуться скористатися вразливістю, перш ніж жертви встигнуть її виправити. А отже, організації, що ігнорують ці поради, наражають себе на велику небезпеку.