CVE-2023-22515

Falha de controle de acesso quebrado (Broken Access Control) no Confluence Data Center e Server que permite a um atacante não autenticado, com acesso de rede à instância, criar uma conta de administrador Confluence a partir do zero. Uma vez com conta de admin, o atacante tem controle total da instância — incluindo a possibilidade de instalar plugins maliciosos para execução de código. Atlassian confirmou exploração ativa por um ator estatal antes mesmo da divulgação pública, e a CISA incluiu a falha no catálogo KEV.

A causa raiz é CWE-284 (Improper Access Control), classificada pela Atlassian como Broken Access Control / Broken Authentication & Session Management (BASM). Os endpoints de setup do Confluence (`/setup/setupadministrator.action`, `/setup/finishsetup.action` e demais sob `/setup/*`) existem para o assistente de instalação inicial, quando a instância ainda não tem administrador configurado. O bug é que esses endpoints permanecem acessíveis mesmo depois que a instância já foi configurada e está em produção — não há verificação server-side que bloqueie o fluxo de setup uma vez que o setup já foi concluído.

Isso permite que um requisitante HTTP não autenticado invoque o fluxo de criação de administrador diretamente, sem passar por nenhuma camada de autenticação anterior. O atacante não controla dados de aplicação complexos; ele controla apenas a requisição HTTP ao endpoint de setup, o que é suficiente para acionar a lógica que cria um usuário e o adiciona ao grupo `confluence-administrators`.

O vetor de exploração completo, segundo a nomenclatura usada por pesquisadores (o PoC circulado é descrito como 'Unauthenticated Remote Code Execution'), normalmente combina dois passos: (1) abuso do endpoint de setup para obter uma conta admin; (2) uso dessa conta admin para instalar um plugin Confluence malicioso (funcionalidade legítima de administração), que executa código Java arbitrário no servidor — transformando a falha de controle de acesso em RCE completo.

O vetor é rede (AV:N), sem necessidade de autenticação prévia (PR:N) e sem interação do usuário (UI:N), com baixa complexidade de ataque (AC:L) — daí o CVSS 10.0. O único pré-requisito real é que a instância Confluence Data Center/Server esteja acessível pela rede (idealmente pública) a partir de onde o atacante está, e que os endpoints `/setup/*` não estejam bloqueados por controle de rede ou configuração. Instâncias Confluence Cloud (`atlassian.net`) não são afetadas — a falha é específica do código self-hosted.

Na prática documentada por Atlassian e por analistas, a exploração observada consistiu em requisições diretas a `/setup/*.action` para criar uma conta de administrador não autorizada, seguidas de login com essa conta e ações administrativas subsequentes, incluindo instalação de plugins/webshells para persistência e execução de código. Atlassian afirmou ter evidências de exploração por um ator nation-state antes da divulgação pública, e a presença no catálogo KEV da CISA confirma exploração ativa e generalizada após a publicação, com PoC pública, módulo Metasploit e template Nuclei amplamente disponíveis, o que baixou a barreira técnica para exploração em massa por qualquer atacante.

O resultado final documentado é controle administrativo total da instância Confluence: exfiltração de conteúdo, manipulação de configurações e potencial pivotagem para outros sistemas via credenciais ou integrações armazenadas no Confluence.

A correção definitiva é atualizar para uma versão corrigida: 8.3.3 ou posterior, 8.4.3 ou posterior, ou 8.5.2 (release LTS) ou posterior. Versões anteriores a 8.0.0 não são afetadas e não precisam de ação para esta CVE específica.

Se a atualização não for imediata, a Atlassian recomenda primeiro restringir o acesso de rede externo à instância — a mitigação mais eficaz enquanto o patch não é aplicado. Como paliativo adicional (não substitui a atualização), é possível bloquear o acesso aos endpoints `/setup/*` na camada de rede ou editando `WEB-INF/web.xml` para adicionar um `security-constraint` que restrinja `/setup/*` a todos os métodos HTTP, seguido de reinício do serviço. Esse paliativo impede a criação de conta de administrador via esse vetor, mas não impede que o atacante continue tentando explorar a falha repetidamente, o que pode causar negação de serviço; além disso, ele bloqueia funções legítimas de setup (instalação do zero, migração para/de Data Center), exigindo remoção temporária da regra quando essas ações forem necessárias.

Importante: atualizar a versão NÃO remove um comprometimento já ocorrido. Se a instância esteve exposta enquanto vulnerável, é obrigatório verificar indicadores de comprometimento antes de considerar o ambiente seguro — o upgrade fecha a porta, mas não expulsa quem já entrou.

A Atlassian lista indicadores concretos de comprometimento: membros inesperados no grupo `confluence-administrators`; contas de usuário criadas recentemente sem explicação; plugins instalados desconhecidos pela equipe; requisições a `/setup/*.action` nos logs de acesso de rede; e a presença de `/setup/setupadministrator.action` em mensagens de exceção no arquivo `atlassian-confluence-security.log`, dentro do diretório home do Confluence (a Atlassian publicou um exemplo de stack trace com `InvalidGroupException: Group already exists` associado a esse endpoint). Ausência desses sinais não garante que a instância não foi comprometida — apenas indica que não há evidência direta nos logs disponíveis, e a Atlassian é explícita que não pode confirmar remotamente se uma instância específica foi afetada.