Red Hot Cyber
La cybersecurity è condivisione. Riconosci il rischio, combattilo, condividi le tue esperienze ed incentiva gli altri a fare meglio di te.
Cerca

Uno 0day su Atlassian Confluence senza patch è sfruttato attivamente

Redazione RHC : 3 Giugno 2022 19:10

Gli hacker stanno sfruttando attivamente una nuova vulnerabilità zero-day di Atlassian Confluence tracciata come CVE-2022-26134 per installare web shell, senza che al momento siano disponibili soluzioni.

Avviso dello CSIRT Italia

Oggi Atlassian ha rilasciato un  avviso di sicurezza  in cui rivela che la CVE-2022-26134 è una vulnerabilità critica di esecuzione di codice in modalità remota non autenticata (RCE), rilevata sia in Confluence Server che nei Data Center.

Atlassian afferma di aver confermato la vulnerabilità in Confluence Server 7.18.0 e di ritenere che anche Confluence Server e Data Center 7.4.0 e versioni successive siano vulnerabili.


Distribuisci i nostri corsi di formazione diventando un nostro Affiliato

Se sei un influencer, gestisci una community, un blog, un profilo social o semplicemente hai tanta voglia di diffondere cultura digitale e cybersecurity, questo è il momento perfetto per collaborare con RHC Academy. Unisciti al nostro Affiliate Program: potrai promuovere i nostri corsi online e guadagnare provvigioni ad ogni corso venduto. Fai parte del cambiamento. Diffondi conoscenza, costruisci fiducia, genera valore.

Contattaci tramite WhatsApp al 375 593 1011 per richiedere ulteriori informazioni oppure scriviti alla casella di posta [email protected]



Supporta RHC attraverso:


Ti piacciono gli articoli di Red Hot Cyber? Non aspettare oltre, iscriviti alla newsletter settimanale per non perdere nessun articolo.


L’avviso avverte che gli attori delle minacce stanno sfruttando attivamente Confluence Server 7.18.0.

Poiché non sono disponibili patch, Atlassian consiglia ai clienti di rendere inaccessibili i propri server con uno di questi due metodi:

  • Limitazione delle istanze di Confluence Server e Data Center da Internet;
  • Disabilitazione delle istanze di Confluence Server e Data Center.

Non ci sono altri modi per mitigare questa vulnerabilità al momento.

Le organizzazioni che utilizzano Atlassian Cloud (accessibile tramite atlassian.net) non sono interessate da questa vulnerabilità.

Atlassian sta lavorando attivamente a una patch e rilascerà ulteriori informazioni nel proprio avviso non appena sarà disponibile.

La Cybersecurity and Infrastructure Security Agency (CISA) ha aggiunto questo zero-day al suo “Catalogo delle vulnerabilità sfruttate note” richiedendo alle agenzie federali di bloccare tutto il traffico Internet verso i server Confluence entro domani, 3 giugno.

In una divulgazione coordinata, la società di sicurezza informatica Volexity ha spiegato che la vulnerabilità è stata scoperta durante il fine settimana del Memorial Day durante l’esecuzione della risposta agli incidenti.

Dopo aver condotto le indagini, Volexity ha potuto riprodurre l’exploit contro l’ultima versione di Confluence Server e lo ha rivelato ad Atlassian il 31 maggio.

“Dopo un’analisi approfondita dei dati raccolti, Volexity è stata in grado di determinare la compromissione del server derivata da un utente malintenzionato che ha lanciato un exploit per ottenere l’esecuzione di codice in modalità remota”

spiega un  post sul blog  di Volexity.

“Volexity è stata successivamente in grado di ricreare l’exploit e identificare una vulnerabilità zero-day che ha un impatto sulle versioni completamente aggiornate di Confluence Server”.

Nella violazione analizzata da Volexity, gli attori delle minacce hanno installato  BEHINDER, una shell Web JSP che consente agli attori delle minacce di eseguire comandi sul server compromesso da remoto.

Gli attori delle minacce hanno quindi utilizzato BEHINDER per installare la shell web China Chopper e un semplice strumento di caricamento file come backup.

Dall’indagine di Volexity, gli attori delle minacce hanno scaricato le tabelle utente del server Confluence, scritto shell web aggiuntive e alterato i registri di accesso per eludere il rilevamento.

Volexity afferma che molteplici attori delle minacce provenienti dalla Cina stiano utilizzando questi exploit.

Poiché non sono disponibili patch, Volexity consiglia inoltre agli amministratori di Confluence di disconnettere i propri server da Internet fino a quando Atlassian non rilascerà una correzione.

Volexity ha rilasciato un  elenco di indirizzi IP  dietro gli attacchi e le  regole Yara  per identificare l’attività della shell web sui server Confluence.

Redazione
La redazione di Red Hot Cyber è composta da un insieme di persone fisiche e fonti anonime che collaborano attivamente fornendo informazioni in anteprima e news sulla sicurezza informatica e sull'informatica in generale.

Lista degli articoli

Articoli in evidenza

Da AI white ad AI black il passo è breve. Nuovi strumenti per Script Kiddies bussano alle porte

I ricercatori di Okta  hanno notato che aggressori sconosciuti stanno utilizzando lo strumento di intelligenza artificiale generativa v0 di Vercel per creare pagine false che imitano qu...

Se è gratuito, il prodotto sei tu. Google paga 314 milioni di dollari per violazione dei dati agli utenti Android

Google è al centro di un’imponente causa in California che si è conclusa con la decisione di pagare oltre 314 milioni di dollari agli utenti di smartphone Android nello stato. Una giu...

CTF di RHC 2025. Ingegneria sociale in gioco: scopri la quarta “flag” non risolta

La RHC Conference 2025, organizzata da Red Hot Cyber, ha rappresentato un punto di riferimento per la comunità italiana della cybersecurity, offrendo un ricco programma di talk, workshop e compet...

Linux Pwned! Privilege Escalation su SUDO in 5 secondi. HackerHood testa l’exploit CVE-2025-32463

Nella giornata di ieri, Red Hot Cyber ha pubblicato un approfondimento su una grave vulnerabilità scoperta in SUDO (CVE-2025-32463), che consente l’escalation dei privilegi a root in ambie...

Hackers nordcoreani a libro paga. Come le aziende hanno pagato stipendi a specialisti IT nordcoreani

Il Dipartimento di Giustizia degli Stati Uniti ha annunciato la scoperta di un sistema su larga scala in cui falsi specialisti IT provenienti dalla RPDC i quali ottenevano lavoro presso aziende americ...