Atlassian ha lanzado actualizaciones de seguridad para abordar tres vulnerabilidades de gravedad crítica en sus productos, los cuales podrían explotarse para provocar una omisión de autenticación o secuencias de comandos entre sitios y tomar el control de los sistemas afectados. Usuario con contraseña "disabled1system1user6708". Cagada épica de la empresa Australiana, incorporando en todas sus instalaciones un usuario y contraseña por defecto. It's not a bug it's a feature. Atlassian Confluence viene con BackDoor incluido.

Atlassian Confluence soluciona grave vulnerabilidad usuario por defecto incrustado en todas las instalaciones

CVE-2022-26138

El primero de los tres fallos, CVE-2022-26138 (puntación de gravedad CVSS: 8.6), afecta a los productos Confluence Server y Data Center, y permite que un atacante remoto no autenticado con conocimiento de un contraseña codificada (hardcoded) pueda explotar esto para iniciar sesión en Confluence.

"Cuando la aplicación Questions for Confluence app está habilitada en Confluence Server o Data Center, crea una cuenta de usuario de Confluence con el nombre de usuario disabledsystemuser. Esta cuenta está destinada a ayudar a los administradores que están migrando datos de la aplicación a Confluence Cloud. La cuenta de usuario del sistema deshabilitado se crea con una contraseña codificada y se agrega al grupo de usuarios de confluence, lo que permite ver y editar todas las páginas no restringidas dentro de Confluence de manera predeterminada", dice el aviso.

CVE-2022-26138 afecta a Confluence Server and Data Center versión 7.4.0, 7.13.0, 7.4.12, 7.16.0, 7.15.1 y 7.17.0. Se ha resuelto en las versiones 7.14.3, 7.15.2, 7.13.6, 7.16.4, 7.4.17 y 7.17.2. Atlassian no tiene conocimiento de ningún exploit que aproveche esta falla crítica. 

La contraseña codificada se agrega después de instalar la aplicación Questions for Confluence (versiones 2.7.34, 2.7.35 y 3.0.2) para una cuenta de usuario con el nombre de usuario disabledsystemuser, diseñado para ayudar a los administradores con la migración de datos de la aplicación al Nube de confluencia.

Según Atlassian, la aplicación ayuda a mejorar la comunicación con el equipo interno de preguntas y respuestas de la organización y actualmente está instalada en más de 8000 servidores de Confluence.

Sin embargo, la compañía advirtió que "la contraseña codificada es trivial de obtener después de descargar y revisar las versiones afectadas de la aplicación".

Credenciales incrustados (hardcoded)

Lo creas o no, esto estaba en "confluence-questions-3.0.2.jar" de Altassian Confluence Server y Data Center. Un usuario y password válido por defecto incrustado. Lo curioso es que aun llamándose "disabled", no lo estaba y sabiendo su nombre y contraseña podría entrar en el sistema.

Una instancia de Confluence Server o Data Center se ve afectada si tiene una cuenta de usuario activa con la siguiente información:

• User: disabledsystemuser
• Username: disabledsystemuser
• Password: disabled1system1user6708
• Email: dontdeletethisuser@email.com

Si esta cuenta no aparece en la lista de usuarios activos, la instancia de Confluence no se ve afectada.

Atlassian abordó hasta dos vulnerabilidades de gravedad crítica que afectaban al servidor y centro de datos Bamboo, el servidor y centro de datos Bitbucket, el servidor y centro de datos Confluence, el servidor y centro de datos Crowd, Crucible, Fisheye, el servidor y centro de datos Jira y el servidor de gestión de servicios Jira. y centro de datos

Omisión de filtro de servlet arbitrario (CVE-2022-26136) y Invocación de filtro de servlet adicional (CVE-2022-26137). Si los fallos se explotan con éxito, puede permitir que los atacantes que pueden engañar a un usuario para que solicite una URL maliciosa puedan ejecutar Javascript arbitrario en el navegador del usuario o engañar a un usuario para que solicite una URL maliciosa puedan acceder a la aplicación vulnerable con los permisos de la víctima.

Fuentes: 

SecurityOnline

https://blog.segu-info.com.ar/2022/07/atlassian-soluciona-otra-vulnerabilidad.html

https://confluence.atlassian.com/doc/questions-for-confluence-security-advisory-2022-07-20-1142446709.html

https://twitter.com/ssantosv/status/1550408652787523584