Confluence’ın arayüz katmanı, sayfa şablonlarını sunucu tarafında işlerken OGNL (Object-Graph Navigation Language) adı verilen bir ifade dilini değerlendirir. Bu dil normalde bir nesnenin özelliklerine erişmek ve dinamik değerler basmak için tasarlanmıştır; ancak kullanıcıdan gelen bir girdi doğrudan bu değerlendirme motoruna aktarıldığında, saldırgan artık veri değil çalıştırılacak kod yazma imkânı elde eder. CVE-2021-26084 ve onu izleyen benzer kayıtlar tam olarak bu noktada, sayfa şablonu parametrelerinin filtrelenmeden yorumlanmasından doğdu.

Confluence OGNL zafiyeti, sunucunun kullanıcı girdisini metin olarak değil çalıştırılabilir ifade olarak yorumlaması sonucu ortaya çıkan, kimlik doğrulaması bile gerektirmeden uzaktan kod çalıştırmaya açık bir enjeksiyon kusurudur.

Saldırı Nasıl Gerçekleşir?

Saldırgan, savunmasız bir Confluence örneğinin belirli bir uç noktasına özel hazırlanmış bir HTTP isteği gönderir. İsteğin gövdesindeki bir parametre, tırnak ve süslü parantezlerle sarmalanmış bir OGNL ifadesi taşır. Sunucu bu ifadeyi bir sayfa başlığı gibi ele almak yerine çalıştırır; ifadenin içine yerleştirilen bir sistem komutu, web sunucusunun çalıştığı kullanıcı yetkisiyle işletim sisteminde koşar. En kritik varyantlarda bu, oturum açmadan, yani yalnızca ağ erişimi olan herhangi biri tarafından tetiklenebilir. Bir kez komut çalıştırma kabiliyeti kazanıldığında, saldırgan çoğunlukla bir web shell yükleyerek kalıcılık sağlar.

OGNL enjeksiyonu, klasik bir şablon enjeksiyonu (SSTI) örneğidir ve kök nedeni klasik enjeksiyon zafiyetleriyle aynıdır: veri ile kod arasındaki sınırın korunmaması. Bu yüzden savunmanın temelini de veri ile kodun ayrılması oluşturur; kullanıcı girdisinin asla değerlendirilecek bir ifade akışına karışmaması gerekir. Uygulama katmanında bu tür kusurların yüzeye çıkarılması için Web uygulama sızma testi sırasında özellikle şablon motorlarına yönelik yük denemeleri yapılır.

Neden Bu Kadar Tehlikeli?

Confluence pek çok kurumda dokümantasyonun, teknik notların, kimlik bilgilerinin ve iç süreçlerin merkezî deposudur. Böyle bir sistemde kod çalıştırma kabiliyeti, saldırgana yalnızca tek bir uygulamayı değil, çoğunlukla iç ağa açılan bir kapıyı verir. Sunucu üzerinde yakalanan servis hesapları ve saklanmış tokenlar yanal harekete zemin hazırlar. Nitekim bu zafiyetlerin kamuya açıklanmasının ardından geniş çaplı otomatik tarama ve toplu sömürü kampanyaları görülmüş, savunmasız örnekler saatler içinde ele geçirilmiştir.

Tespit ve Önleme

Bu zafiyet sınıfına karşı en kesin savunma güncel sürüme geçmektir; Atlassian etkilenen sürümler için yamalar yayımlamış, geçici azaltıcı önlemler de sunmuştur. Yama uygulamak, açığı kök nedeninden kapatan tek adımdır ve düzenli bir Yama yönetimi disiplini olmadan bu tür kritik kayıtlar aylarca açık kalabilir. Uygulama düzeyinde ise şablon motoruna aktarılan her değerin sıkı biçimde denetlenmesi, yani Girdi doğrulama ve çıktı kodlama pratiklerinin işletilmesi, benzer ifade enjeksiyonlarının yüzeyini daraltır.

• Confluence Server ve Data Center örneklerini üretici tarafından yamalanmış sürümlere yükseltin.
• Yönetim ve şablon uç noktalarını internete doğrudan açmak yerine ağ katmanında sınırlayın.
• Web sunucusu erişim kayıtlarında olağandışı POST istekleri ve bilinen sömürü kalıplarını izleyin.
• Sunucuda beklenmedik yeni dosyaları ve web shell izlerini düzenli olarak tarayın.

Bir Confluence örneğinin sömürüldüğünden şüphelenildiğinde önce sistemin ağdan yalıtılması, ardından bellek ve disk üzerinde adli bir incelemenin başlatılması gerekir; bu noktada Privia Security’nin olay inceleme ve olay müdahalesi ekibi, saldırının kapsamını çıkarmak ve kalıcılık izlerini temizlemek için devreye girer.