Une vulnérabilité critique dans le serveur Atlassian Confluence est en cours d’exploitation à grande échelle.

Une vulnérabilité critique dans l’application serveur Atlassian Confluence qui permet des commandes malveillantes et des réinitialisations de serveurs est activement exploitée par des acteurs de la menace dans des attaques qui installent des logiciels malveillants, ont déclaré les chercheurs. « L’exploitation à grande échelle de la vulnérabilité d’authentification par contournement CVE-2023-22518 dans Atlassian Confluence Server a commencé, mettant en danger une perte de données importante », a écrit Glenn Thorpe, directeur senior de la recherche et de l’ingénierie de détection en sécurité, dans un message sur Mastodon dimanche. « Jusqu’à présent, les adresses IP attaquantes incluent toutes l’Ukraine dans leur cible ». Il a indiqué une page montrant qu’entre minuit et 8 heures UTC (environ 17 heures, heure de l’Est, le samedi soir au dimanche matin), trois adresses IP différentes ont commencé à exploiter la vulnérabilité critique, ce qui permet aux attaquants de restaurer une base de données et d’exécuter des commandes malveillantes. Les IP ont depuis cessé ces attaques, mais il a déclaré soupçonner que les exploits se poursuivaient. Le site Web DFIR Report a publié des captures d’écran montrant les données qu’il avait collectées lors de l’observation des attaques. L’une d’entre elles montrait une demande d’un groupe de rançon qui se faisait appeler C3RB3R. Les autres captures d’écran montraient des détails supplémentaires, tels que le déplacement latéral post-exploitation vers d’autres parties du réseau de la victime et la source des attaques.