Atlassian Confluence Data Center: unzureichende Zugriffskontrolle (CVE-2023-22518)

Was ist betroffen, was ist zu tun

Dieses Sicherheitsleck ermöglicht es einem unauthentifizierten Angreifer, sich als Administrator in Confluence Data Center und Server einzuschleichen und administrative Aktionen durchzuführen, was zu einem vollständigen Verlust von Vertraulichkeit, Integrität und Verfügbarkeit führt. Die Schwachstelle betrifft alle Versionen von Confluence Data Center und Server, jedoch nicht die Atlassian Cloud. Sie wird aktiv in Ransomware-Kampagnen seit November 2023 ausgenutzt. Ein sofortiges Update auf die neuesten Versionen ist dringend erforderlich, um die Risiken zu minimieren.

Die Schwachstelle wird aktiv ausgenutzt; behandeln Sie sie vorrangig. CISA führt sie als in Ransomware-Kampagnen genutzte Schwachstelle. Aktualisieren Sie Atlassian Confluence Data Center auf Version 7.19.16, Atlassian Confluence Server auf Version 7.19.16. Sofortmaßnahmen, Mitigation und Erkennungsregeln stehen im Runbook unten.

Betroffen

• Atlassian Confluence Data Center lt 1.0.0..7.19.16
• Atlassian Confluence Server lt 1.0.0..7.19.16

Behoben in

• Atlassian Confluence Data Center 7.19.16
• Atlassian Confluence Server 7.19.16

Unklar, ob und wie Sie betroffen sind? Frage zu dieser Schwachstelle stellen

Metriken

Behebung und Mitigation

1. 01

   Schritt 1 im Runbook

   Sofort-Response (0-24 h)

   • Exposition feststellen und Internetzugriff sofort sperren: Alle Confluence Data Center/Server-Instanzen inventarisieren (inkl. Test, Staging und Altinstanzen). Instanzen, die direkt aus dem Internet erreichbar sind, bis zum Patch hinter VPN oder Reverse-Proxy mit Allowlist stellen. atlassian.net-Cloud-Sites sind nicht betroffen.
   • Patch einspielen: Auf die Fixversionen 7.19.16, 8.3.4, 8.4.4 oder 8.5.3 aktualisieren, je nach Release-Linie. Für 8.6.0 ist laut vorliegendem Kontext keine Fixversion angegeben — Patch verfügbar beim Hersteller, Version bitte im Vendor-Advisory nachschlagen. Versionen vor 7.19 sind End-of-Life und müssen auf eine gepatchte LTS-Linie migriert werden.
   • Interim-Blockade, falls kein Sofort-Patch möglich ist: Am Reverse-Proxy oder WAF jeden Zugriff auf /json/setup-restore.action, /json/setup-restore-local.action und /json/setup-restore-progress.action mit HTTP 403 verweigern. Das sind die ausgenutzten Restore-Endpunkte.
   • Kompromittierungsprüfung vor dem Patch: Tomcat-Access-Logs auf POST-Requests an /json/setup-restore* prüfen. Achten Sie außerdem auf unbekannte Konten in confluence-administrators, neu installierte Plugins sowie plötzlich fehlende Spaces oder Seiten. Bei Treffern die Instanz isolieren und forensisch sichern; nicht einfach patchen und weiterbetreiben.
   • Datensicherung absichern: Aktuelle Datenbank- und Home-Verzeichnis-Backups offline bzw. immutable ablegen und auf Integrität prüfen. Die Schwachstelle erlaubt ein vollständiges Zurücksetzen der Instanz, und die Ransomware-Nutzung ist von CISA bestätigt.
   • Zugangsdaten rotieren bei Verdacht: Datenbank-Credentials aus confluence.cfg.xml, Service-Account-Passwörter, Application-Links/OAuth-Tokens und die Passwörter lokaler Admin-Konten erneuern.
2. 02

   Schritt 2 im Runbook

   Mitigation-Layer

   • Netzsegmentierung: Confluence nur über ein Management- oder Benutzer-VLAN bzw. VPN erreichbar machen. Ausgehenden Verkehr vom Confluence-Host auf notwendige Ziele beschränken (Default-Deny-Egress); das unterbindet Nachladen von Tools und C2-Kommunikation.
   • WAF/IPS-Regel: URI-Match auf ^/json/setup-restore(-local|-progress)?\.action blockieren, unabhängig von der HTTP-Methode und auch mit Pfad-Varianten (;jsessionid=, doppelte Slashes, URL-Encoding). Ergänzend multipart-Uploads mit ZIP-Payload an /json/* aus nicht vertrauenswürdigen Netzen verwerfen. Suricata-Form: http.uri; content:"/json/setup-restore"; nocase;.
   • Endpoint-Härtung: Confluence unter einem dedizierten, nicht privilegierten Dienstkonto betreiben. Schreibrechte auf Confluence-Install-Verzeichnis und Plugin-Pfade minimieren. EDR-Regel aktivieren, die Shell-Prozesse als Kinder des Confluence-JVM-Prozesses blockiert.
   • IAM/Least Privilege: Die Mitgliedschaft in confluence-administrators minimieren und Änderungen alarmieren. Admin-Zugriff zusätzlich über SSO mit MFA absichern. Beachten Sie: Die Schwachstelle selbst umgeht Authentisierung, MFA verhindert also nur die Nachnutzung gestohlener Konten.
   • Konfiguration/Resilienz: Die Restore-Funktion im Regelbetrieb am Proxy dauerhaft sperren und nur im Wartungsfenster freigeben. Backups gemäß 3-2-1-Regel mit einer Offline-Kopie führen; Wiederherstellungszeit (RTO) für Confluence testen.
3. 03

   Schritt 3 im Runbook

   Detection-Regeln

   • Web-Access-Log (Tomcat conf_access_log/Proxy): POST-Requests auf /json/setup-restore.action, /json/setup-restore-local.action oder /json/setup-restore-progress.action, insbesondere mit Parametern wie synchronous=true. SPL: index=web uri_path="/json/setup-restore*" method=POST | stats count by src_ip, uri_path, status.
   • Confluence-Audit-Log/Anwendungslog: Ein unerwarteter Site-Restore oder Import (atlassian-confluence.log mit Restore/Import-Einträgen außerhalb von Wartungsfenstern). Ebenso relevant: neue Benutzer, die direkt confluence-administrators hinzugefügt werden, oder Plugin-Uploads über /admin/uploadplugin.action durch unbekannte Konten.
   • EDR/Sysmon-Prozessabstammung: Sysmon EID 1 bzw. EDR mit Parent java.exe/tomcat*.exe (Windows) oder java unter dem Confluence-User (Linux) und Child cmd.exe, powershell.exe, bash, sh, curl oder wget. Sigma-Form: ParentImage|endswith: '\java.exe' AND Image|endswith: ['\cmd.exe','\powershell.exe'], eingeschränkt auf Confluence-Hosts.
   • Linux auditd/Dateisystem: execve-Events mit uid des Confluence-Dienstkontos. Dazu neue .jar- oder .jsp-Dateien unter dem Install- oder Home-Verzeichnis (Sysmon EID 11 bzw. auditd-Watch auf plugins/). Massenhafte Umbenennungen bzw. Schreibvorgänge mit neuen Dateiendungen deuten auf Verschlüsselung hin.
   • Netzwerk (Zeek/Suricata): Ausgehende Verbindungen des Confluence-Servers zu unbekannten externen IPs unmittelbar nach Requests auf die Restore-Endpunkte. Ebenso verdächtig sind große ausgehende Datenmengen (conn.log mit hohem orig_bytes).

Erkennungsregeln

Für diese Schwachstelle liegt noch keine NEOSEC-Erkennungsregel vor.

Einordnung nach NIS2 und CRA

Regelbasierte Einordnung aus Ausnutzungsstatus und Schweregrad. Sie ersetzt keine Prüfung im Einzelfall.

NIS2

NIS2 ist die EU-Richtlinie (EU) 2022/2555 zur Erhöhung des Cybersicherheitsniveaus in der Union. Sie weitet Pflichten gegenüber der ersten NIS-Richtlinie deutlich aus: mehr Sektoren, verbindliches Risikomanagement, gestufte Meldepflichten und persönliche Verantwortung der Geschäftsleitung.

Im Glossar lesen

Aktiv ausgenutzt: Behandeln Sie die Schwachstelle im Schwachstellenmanagement nach Art. 21 Abs. 2 lit. e NIS2 vorrangig. Wird sie in Ihrer Umgebung ausgenutzt, prüfen Sie die Meldepflicht nach Art. 23 (Frühwarnung binnen 24 Stunden).

CRA

Der CRA ist die EU-Verordnung (EU) 2024/2847 mit horizontalen Cybersicherheitsanforderungen an „Produkte mit digitalen Elementen“ — von Industriesteuerungen über Software bis zu vernetzten Verbrauchergeräten. Erstmals müssen Hersteller Sicherheit über den gesamten Produktlebenszyklus gewährleisten, Schwachstellen behandeln und Sicherheitsupdates bereitstellen.

Im Glossar lesen

Seit dem 11.09.2026 müssen Hersteller betroffener Produkte mit digitalen Elementen aktiv ausgenutzte Schwachstellen nach Art. 14 CRA melden, mit Frühwarnung binnen 24 Stunden über die zentrale Meldeplattform der ENISA.

ISO/IEC 27001

ISO/IEC 27001 ist der international führende Standard für ein Informationssicherheits-Managementsystem (ISMS). Er beschreibt einen risikobasierten, prozessorientierten Rahmen, um Informationssicherheit systematisch zu planen, umzusetzen, zu überprüfen und zu verbessern.

Im Glossar lesen

Maßnahme A.8.8, Management technischer Schwachstellen: Relevanz für Ihre Systeme bewerten, Behebung einplanen und nachweisen.

Beschreibung

Alle Versionen von Confluence Data Center und Server sind von dieser nicht ausgenutzten Schwachstelle betroffen. Diese Fehlkonfiguration der Autorisierung ermöglicht es einem nicht authentifizierten Angreifer, Confluence zurückzusetzen und ein Administratorkonto für die Confluence-Instanz zu erstellen. Mit diesem Konto kann der Angreifer dann alle administrativen Aktionen ausführen, die dem Administratorenkonto der Confluence-Instanz zur Verfügung stehen, was zu einem vollständigen Verlust von Vertraulichkeit, Integrität und Verfügbarkeit führt. Atlassian Cloud-Sites sind von dieser Schwachstelle nicht betroffen. Wenn Ihre Confluence-Seite über ein atlassian.net-Domain zugänglich ist, wird sie von Atlassian gehostet und ist gegen diese Problematik nicht anfällig.

Quelle: pwn.watch, CSA/SingCERT, NVD (NIST), cvelistv5, CISA KEV Catalog, CVE.org (MITRE), BSI WID Portal, BSI CSAF

Hersteller und Produkte

• Atlassian Confluence Data Center
• Atlassian Atlassian Confluence Server

Quellen & Referenzen

• confluence.atlassian.compages/viewpage.action?pageId=1311473907Issue-Tracker, Mitigation, Herstellerhinweis
• jira.atlassian.combrowse/CONFSERVER-93142Issue-Tracker, Mitigation, Herstellerhinweis
• packetstormsecurity.comfiles/176264/Atlassian-Confluence-Improper-Authorization-Code-E…Exploit, Hinweis Dritter, Schwachstellendatenbank
• cisa.govknown-exploited-vulnerabilities-catalog?field_cve=CVE-2023-22518government-resource, US-Behörde
• cert.atCERT.at: Kritische Sicherheitslücke in Confluence Data Center und Confluence Servercert-at
• pwn.watchpwn.watch: Confluence Data Center/Server reset-and-takeover bug exploited for Cerber ransomware (CVE-2023-22518)pwn-watch
• confluence.atlassian.comCVE-2023-22518 - Improper Authorization Vulnerability in Confluence Data Center and Serverpwn-watch
• NVD (NIST)NVD: CVE-2023-22518pwn-watch
• cisa.govCISA Known Exploited Vulnerabilities Catalogpwn-watch