Openfire漏洞危機：仍有3000多台伺服器未進行更新

Openfire是一款廣泛使用的基於Java的開源聊天（XMPP）伺服器，下載量達900萬次。但成千上萬的Openfire伺服器仍然容易受到CVE-2023-32315的攻擊，這是一個被積極利用的路徑漏洞，允許未經身份驗證的用戶建立新的管理員帳戶。
 
CVE-2023-32315影響2015年4月發佈的3.10.0版本，Openfire開發人員曾發佈4.6.8、4.7.5和4.8.0版本的安全更新來解決這個問題。但研究發現未更新的伺服器上CVE-2023-32315還是被積極利用來建立管理帳號並上傳惡意外掛程式。
 
VulCheck漏洞研究人員發現OpenFire社群沒有積極進行安全更新，尚有3000多台伺服器仍然存在漏洞。Shodan掃描顯示6324台網路公開的Openfire伺服器，其中一半，3162台伺服器運行過時的版本，仍然受到CVE-2023-32315漏洞威脅。
 
只有20%的用戶進行漏洞修補，25%用戶使用版本早於3.10.0，另有5%的用戶運行的開源專案分支可能會受到影響。考慮到這些Openfire伺服器在通訊關鍵基礎設施、處理敏感資訊等方面所扮演的角色，CVE-2023-32315漏洞威脅應被重視。
 
利用CVE-2023-32315可以建立一個管理員帳號，允許攻擊者上傳惡意Java JAR外掛程式，這些外掛程式打開反向外殼或在受損伺服器上執行命令。
 
 實際利用案例包含加密挖礦僵屍網路背後的駭客Kinsing利用CVE-2023-32315安裝了一個特制的Openfire外掛程式，該外掛程式在易受攻擊的伺服器上啟動反向外殼。
 
其實資安人員很容易從日誌中檢測到建立管理員帳號這類異常行為，因此，目前發現一種惡意駭客可以在不建立管理員帳戶的情況下，利用該漏洞的隱蔽方法。
 
分析人員展示藉由提取JSESSIONID和CSRF權杖，直接存取“plugin-admin.jsp”，然後透過POST請求上傳JAR外掛程式。該外掛程式已被接受並安裝在易受攻擊的伺服器上，並且無需管理員帳戶即可訪問其webshell。
 
因為這種攻擊方式不會在安全記錄檔中留下痕跡，所以它比當前的漏洞攻擊要隱蔽得多，並躲避了安全系統的檢測。由於CVE-2023-32315已經受到積極利用，包括來自僵屍網路惡意軟體的利用，可能會引發更可怕的第二波攻擊。因此，敦促尚未升級到修補版本的Openfire伺服器管理員儘快升級。