Une vulnérabilité critique dans le serveur Atlassian Confluence est en train d’être exploitée de manière massive.

Une vulnérabilité critique dans l’application serveur Confluence d’Atlassian, qui permet des commandes malveillantes et des réinitialisations de serveurs, est activement exploitée par des acteurs de menace dans des attaques qui installent des logiciels malveillants de type rançon, ont déclaré des chercheurs. « L’exploitation généralisée de la vulnérabilité d’authentification CVE-2023-22518 dans Atlassian Confluence Server a commencé, ce qui représente un risque de perte de données importantes », a écrit Glenn Thorpe, directeur principal de la recherche et de l’ingénierie de détection en matière de sécurité chez GreyNoise, dimanche sur Mastodon. « À ce jour, les adresses IP attaquantes incluent toutes l’Ukraine parmi leurs cibles ». Il a indiqué une page montrant qu’entre minuit et 8 heures UTC (environ 17 heures heure normale de l’Est samedi et 1 heure dimanche heure normale du Pacifique), trois adresses IP différentes ont commencé à exploiter la vulnérabilité critique, qui permet aux attaquants de restaurer une base de données et d’exécuter des commandes malveillantes. Les adresses IP ont depuis cessé ces attaques, mais il a déclaré soupçonner que les exploits se poursuivaient. Le DFIR Report a publié des captures d’écran montrant les données qu’il avait collectées lors de l’observation des attaques. L’une d’entre elles montrait une demande d’un groupe de logiciels malveillants de rançon se faisant appeler C3RB3R. D’autres captures d’écran montraient des détails supplémentaires, tels que le déplacement latéral post-exploitation vers d’autres parties du réseau victime et l’origine des attaques.