CVE-2021-26084

OGNL injection não autenticado no Confluence Server e Data Center que permite execução remota de código completa no servidor, sem necessidade de login ou interação do usuário. A falha foi explorada em massa poucos dias após a publicação de um PoC público em agosto de 2021, sendo usada por botnets de criptomineração e por operações de ransomware, o que justifica o CVSS 9.8 e a entrada no catálogo KEV da CISA.

A vulnerabilidade é uma injeção OGNL (Object-Graph Navigation Language), classificada como CWE-917. OGNL é a linguagem de expressão usada internamente pelo Webwork/Struts para resolver propriedades de objetos em tempo de execução dentro do Confluence. Em pontos do código relacionados ao tratamento de páginas e namespaces (conforme indicado pelo título do advisory técnico da Packet Storm, 'Namespace OGNL Injection'), dados vindos de requisições HTTP não confiáveis eram concatenados e avaliados como expressão OGNL antes de chegar a qualquer verificação de autenticação.

Como o motor OGNL do Java tem acesso irrestrito ao contexto de objetos da aplicação, uma expressão controlada pelo atacante pode invocar métodos arbitrários da JVM — incluindo Runtime.exec — resultando em execução de código no contexto do processo do Confluence. O atacante não precisa de credenciais nem de qualquer interação do usuário: o vetor é uma requisição HTTP direta ao endpoint vulnerável.

O Jira do fornecedor não detalha o endpoint exato nem o payload; a Atlassian tratou a divulgação técnica de forma reservada, e a reconstrução pública do vetor veio de pesquisadores externos após a publicação de PoCs, não do advisory oficial.

Exploração ocorre via uma única requisição HTTP não autenticada para uma instância Confluence exposta na rede/internet, sem pré-condição de configuração especial — é isso que torna o CVSS 9.8 fiel ao risco real, ao contrário de muitas críticas que exigem condições raras. Não há necessidade de conta válida, de plugin de terceiros habilitado nem de qualquer feature não padrão: a superfície vulnerável está no core do produto.

A CISA confirma exploração ativa e a incluiu no KEV com prazo de correção de 17/11/2021 (adicionada em 03/11/2021). Relatos públicos amplamente documentados por pesquisadores associam esta CVE a campanhas de mineração de criptomoeda (ex.: z0Miner, Kinsing) e a incidentes de ransomware Cerber que varreram a internet em busca de instâncias Confluence não corrigidas logo após a divulgação do PoC, em ondas de exploração massiva e automatizada.

Existem módulo Metasploit e template Nuclei públicos, o que baixou a barreira técnica quase a zero: qualquer scanner automatizado consegue detectar e explorar instâncias vulneráveis em escala, sem exigir conhecimento aprofundado de OGNL por parte do atacante.

A correção definitiva é atualizar para as versões corrigidas publicadas pela Atlassian: 6.13.23, 7.4.11, 7.11.6, 7.12.5 ou 7.13.0 (a mais recente da linha na época). Não há flag de configuração documentada pelo fornecedor que desative o componente vulnerável sem quebrar funcionalidade — o Jira não lista workaround oficial, apenas a correção via patch.

Se o patch não puder ser aplicado imediatamente, a única mitigação real de curto prazo é isolar a instância: remover exposição direta à internet, restringir acesso via VPN/allowlist de IP, e monitorar logs de acesso para indícios de exploração enquanto o patch é planejado. Colocar a instância detrás de autenticação adicional (ex.: proxy com auth) reduz a superfície, mas não elimina o risco caso o atacante já tenha algum acesso de rede.

Instâncias que já estavam expostas antes do patch devem ser tratadas como potencialmente comprometidas, não apenas corrigidas — a exploração em massa ocorreu em uma janela curta após a divulgação, e webshells ou mineradores instalados sobrevivem à atualização se não houver resposta a incidente.

Como a exploração ocorre via requisição HTTP direta a um endpoint do Confluence, o indício mais confiável em logs de acesso web é a presença de payloads OGNL (uso de sintaxe com colchetes, chamadas a classes Java como Runtime, ProcessBuilder ou Class.forName) em parâmetros de URL ou corpo de requisições para o Confluence, especialmente em endpoints relacionados a criação/edição de páginas. A ausência de autenticação prévia na sessão associada à requisição também é um sinal, já que o endpoint normalmente exige login.

Dado o volume de exploração automatizada relatado por pesquisadores, também vale procurar por artefatos pós-exploração: processos filhos inesperados do processo do Confluence (java spawnando shells, mineradores ou binários desconhecidos), conexões de saída para infraestrutura de mineração de criptomoeda, ou arquivos criptografados/notas de ransomware em servidores que rodavam versões vulneráveis sem patch entre agosto e novembro de 2021.