CVE-2023-22527

Falha de template injection (OGNL) em versões antigas do Confluence Data Center e Server que permite a um atacante não autenticado executar código arbitrário no servidor. É crítica de fato — CVSS 10.0, está na KEV da CISA com exploração ativa confirmada e ligação a campanhas de ransomware, e existe exploit público e módulo Metasploit. A boa notícia parcial: versões suportadas mais recentes na época do disclosure já não eram afetadas, porque a correção entrou como efeito colateral de atualizações regulares antes mesmo do advisory formal.

A vulnerabilidade é uma injeção de template (CWE-74) que permite a um atacante controlar entrada processada pelo motor de template do Confluence, resultando na avaliação de expressões OGNL (Object-Graph Navigation Language) no contexto do servidor. OGNL é a linguagem de expressão usada internamente por frameworks Java como Struts/WebWork — e no Confluence, dentro de templates — para acessar e manipular objetos Java; quando uma aplicação avalia OGNL com dados não confiáveis, o atacante pode alcançar objetos Java arbitrários e, a partir deles, invocar métodos que levam à execução de comandos no sistema operacional.

O ponto crítico é que a exploração não exige autenticação nem qualquer sessão prévia: o vetor é acessível a qualquer cliente HTTP que alcance a instância. Isso eleva drasticamente a severidade prática em relação a outras falhas de RCE do mesmo lote de janeiro de 2024 (como CVE-2023-22526, CVE-2024-21672/21673/21674, todas classificadas como 'High' e não 'Critical' porque exigem alguma pré-condição adicional).

As fontes que revisamos não detalham publicamente o endpoint ou parâmetro exato manipulado no template — o advisory da Atlassian e o ticket Jira (CONFSERVER-93833) tratam o mecanismo em alto nível ('template injection... allows RCE'), e o writeup técnico da Vicarius aborda a cadeia de injeção OGNL, mas não reproduzimos aqui detalhes de payload por política editorial. Quem precisa validar exposição deve tratar qualquer instância nas versões afetadas como vulnerável, independentemente de configuração.

A Atlassian classifica a origem como descoberta via programa de Bug Bounty. Não há indicação nas fontes de que a exploração dependa de plugins de terceiros ou configuração não padrão — é uma falha no core do produto.

O vetor é rede: um atacante sem credenciais e sem interação do usuário (UI:N no vetor CVSS) envia requisições HTTP diretamente à instância Confluence exposta, explorando o ponto de injeção de template para fazer o servidor avaliar OGNL malicioso e executar comandos. A complexidade de ataque é baixa (AC:L) — não há necessidade de condições de corrida, timing ou engenharia social.

A CISA confirma exploração ativa em massa desde pouco depois da publicação (adicionada à KEV em 24/01/2024, quatro dias após patch de emergência já estar disponível havia mais de uma semana) e marca a falha como usada em campanhas de ransomware. Existem PoCs públicos, template Nuclei para varredura automatizada e módulo Metasploit — ou seja, a barreira técnica para reprodução caiu a praticamente zero; scanners de internet identificaram instâncias vulneráveis em escala nos dias seguintes ao disclosure.

O resultado final da exploração é execução remota de código no contexto do processo Confluence, o que tipicamente significa controle total do servidor de aplicação, acesso ao banco de dados subjacente e pivô lateral na rede interna onde a instância está hospedada — sem qualquer necessidade de conta prévia no sistema.

A mitigação real é atualizar. Para o ramo LTS, a versão corrigida mínima é 8.5.4, mas a Atlassian recomenda ir direto para 8.5.5 (LTS), pois 8.5.4 não cobre as demais vulnerabilidades 'high' do boletim de janeiro de 2024. Para quem usa Data Center fora do LTS, as versões corrigidas mínimas são 8.6.0 e 8.7.1, com recomendação de subir para 8.7.2 pelo mesmo motivo. Versões 7.19.x LTS não são afetadas por esta CVE especificamente, mas isso não as isenta de outras falhas do mesmo boletim.

Se o patch imediato não for viável, a própria Atlassian orienta, no pior caso, descontinuar o uso do produto exposto (é a ação registrada pela CISA na KEV: 'apply mitigations per vendor instructions or discontinue use of the product if mitigations are unavailable'). Isolar a instância da internet pública reduz drasticamente a exposição, já que a falha não exige autenticação — bloquear acesso externo ao Confluence enquanto o patch não é aplicado é o controle compensatório mais efetivo disponível nas fontes revisadas. Não há indicação nas fontes de um workaround de configuração (feature flag, parâmetro desabilitável) que neutralize a falha sem atualizar — trate qualquer suposto workaround de terceiros com desconfiança até confirmação no advisory oficial.

Cloud (instâncias em atlassian.net) não é afetado, conforme o próprio advisory.

Não há, nas fontes revisadas, um indicador único e confiável de comprometimento documentado pela Atlassian (como um caminho de log específico). Na prática, times de resposta a incidentes devem procurar por requisições HTTP anômalas para a instância Confluence em torno das datas de disclosure (janeiro de 2024) e depois, especialmente vindas de scanners automatizados — a existência de template Nuclei e módulo Metasploit públicos significa que boa parte do tráfego malicioso segue assinaturas reconhecíveis por essas próprias ferramentas, que podem ser usadas defensivamente para identificar padrões de tentativa. Presença de processos filhos inesperados sob o processo Java do Confluence, webshells novos em diretórios da aplicação, ou contas/agendamentos criados fora de janelas administrativas são sinais pós-exploração a investigar, dado o histórico de uso em ransomware citado pela CISA.