Le Cyber ​​Command américain a mis en garde vendredi contre les tentatives d’exploitation massive en cours dans la nature ciblant une vulnérabilité de sécurité critique désormais corrigée affectant les déploiements d’Atlassian Confluence qui pourrait être exploitée par des attaquants non authentifiés pour prendre le contrôle d’un système vulnérable.

« Exploitation massive de la confluence Atlassienne CVE-2021-26084 est en cours et devrait s’accélérer », la Cyber ​​National Mission Force (CNMF) mentionné dans un tweet. L’avertissement a également été repris par l’Agence américaine de cybersécurité et de sécurité des infrastructures (CISA) et Atlassian lui-même dans une série d’avis indépendants.

Mauvais paquets c’est noté sur Twitter, il a « détecté des activités d’analyse et d’exploitation de masse provenant d’hôtes au Brésil, en Chine, à Hong Kong, au Népal, en Roumanie, en Russie et aux États-Unis, ciblant les serveurs Atlassian Confluence vulnérables à l’exécution de code à distance ».

Atlassian Confluence est une plate-forme de documentation Web très populaire qui permet aux équipes de créer, de collaborer et d’organiser sur différents projets, offrant une plate-forme commune pour partager des informations dans les environnements d’entreprise. Il compte plusieurs grandes entreprises, dont Audi, Docker, GoPro, Hubspot, LinkedIn, Morningstar, NASA, The New York Times et Twilio, parmi ses clients.

Les développement survient quelques jours après que la société australienne a déployé des mises à jour de sécurité le 25 août pour un OGNL (Object-Graph Navigation Language) faille d’injection qui, dans des instances spécifiques, pourrait être exploitée pour exécuter du code arbitraire sur une instance Confluence Server ou Data Center.

En d’autres termes, un adversaire peut tirer parti de cette faiblesse pour exécuter n’importe quelle commande avec les mêmes autorisations que l’utilisateur exécutant le service, et pire encore, abuser de l’accès pour obtenir des autorisations administratives élevées afin de lancer d’autres attaques contre l’hôte à l’aide de vulnérabilités locales non corrigées.

La faille, qui a reçu l’identifiant CVE-2021-26084 et a un indice de gravité de 9,8 sur 10 sur le système de notation CVSS, affecte toutes les versions antérieures à 6.13.23, à partir de la version 6.14.0 antérieure à 7.4.11, à partir de version 7.5.0 avant 7.11.6, et à partir de la version 7.12.0 avant 7.12.5.

Le problème a été résolu dans les versions suivantes —

• 6.13.23
• 7.4.11
• 7.11.6
• 7.12.5
• 7.13.0

Dans les jours qui ont suivi la publication des correctifs, de multiples acteurs de la menace ont saisi l’opportunité de capitaliser sur la faille en piégeant les victimes potentielles pour analyser en masse les serveurs Confluence vulnérables et installer des mineurs de crypto après qu’un exploit de preuve de concept (PoC) a été rendu public plus tôt cette semaine. Rahul Maini, l’un des chercheurs impliqués, décrit le processus de développement de l’exploit CVE-2021-26084 comme « relativement plus simple que prévu ».