الـ 12 الأكثر استغلالًا في عام 2022 (3)
Related: الـ 12 الأكثر استغلالًا في عام 2022 (2)
الـ 12 ثغرات الاستغلال الأكثر تكرارًا في عام 2022 (3) - نظام ذكاء المصدر المفتوح المصدر المفتوح
أكاديمية Osint
الـ 12 الأكثر استغلالًا في عام 2022 (3)
متعلق ب:
الـ 12 الأكثر استغلالًا في عام 2022 (2)
7-8.Atlassian Confluence Server & Data Center (CVE-2011-26084 ، CVE-2022-26134)
كما أن Confluence Atlassian ، وهي منصة تعاون وتوثيق تستخدمها العديد من منظمات القطاع الحكومي والخاص ، تفضل أيضًا بشكل كبير من قبل ممثلي التهديدات.ترتبط كل من نقاط الضعف المختصرة ، CVE-2021-26084 و CVE-2022-26134 ، بحقن لغة التنقل في الرسم البياني (ognl).
حدث أول استغلال واسع النطاق لـ CVE-2011-26084 في سبتمبر 2021 واستهدف خدمة المستندات الشهيرة على شبكة الإنترنت.تم تصميم منصة التقاء للسماح لفرق متعددة بالتعاون في المشاريع المشتركة.يمكن للممثل الضار استخدام ثغرة حقن القيادة CVE-2021-26084 لتنفيذ التعليمات البرمجية التعسفية على خادم التقاء أو مثيل مركز البيانات.لدى المهاجمين بشكل أساسي نفس الامتيازات التي يقوم بها المستخدم الذي يدير الخدمة ، وبالتالي يمكنهم تنفيذ أي أمر ، واكتساب امتيازات إدارية مرتفعة ، وإنشاء موطئ قدم في البيئة.أصدرت CISA مستشارين يوجهون المستخدمين والمسؤولين للتحقق من وجود تحديثات إلى Atlassian لمنع التسوية.
بعد تسعة أشهر فقط ، أصدر أتلاسيان ضعفًا آخر في حقن OGNL ضد خوادم التقاء ومراكز البيانات.تم تتبعه كـ CVE-2021-26134 ، يسمح الضعف للمهاجم غير المصادق بتنفيذ التعليمات البرمجية التعسفية في جميع إصدارات بيانات التقاء المدعومة وإصدارات الخادم.بعد إصدار دليل على المفهوم (POC) في غضون أسبوع من الإفصاح الأولي ، سرعان ما أصبحت هذه الثغرة الأمنية في المستوى الحرج واحدة من الأكثر استغلالًا.في هذه الحالة ، تم استخدام CVE-2011-26134 لتنفيذ RCE غير مصادقة على الخادم ثم يلقي قذيفة ويب خلف.تُمكّن قذيفة الويب المتخيل الممثلين الخبيثين بميزات قوية للغاية ، مثل التفاعل مع Meterpreter و Cobalt Strike وقذيفة ويب فقط للذاكرة.
وفقًا لموقع Atlassian ، تدعم الشركة 83 في المائة من شركات Fortune 500 ، ولديها 10 ملايين مستخدم نشط شهريًا ، ولديه أكثر من 235000 مستخدم في أكثر من 190 دولة.يوضح هذان الرأسيان المقيمين في أتلاسيا كيف يستمر الجهات الفاعلة في التهديد المالي في استغلال نقاط الضعف لمهاجمة العديد من الأهداف الجذابة في وقت واحد.