Atlassian Confluence Server 및 Data Center OGNL 템플릿 인젝션 원격 코드 실행(RCE) 취약점 (CVE-2023-22527) 보안 권고

# 1. 현재 실행 중인 취약한 Confluence 컨테이너 중지 및 제거
docker stop confluence-app
docker rm confluence-app

# 2. 최신 안전한 버전(예: 8.5.4 이상)의 이미지 풀링 및 컨테이너 재시작
docker pull atlassian/confluence-datacenter:8.5.4
docker run -d --name confluence-app -v confluence_data:/var/atlassian/application-data/confluence -p 8090:8090 -p 8091:8091 atlassian/confluence-datacenter:8.5.4

# Nginx reverse proxy configuration for blocking potential OGNL injection
server {
    listen 80;
    server_name confluence.internal.local;

    location / {
        # Block common OGNL payload keywords in URI or arguments
        if ($request_uri ~* '(memberAccess|ognl|Runtime|ProcessBuilder|getClass)') {
            return 403 'Access Denied: Potential Exploit Detected';
        }
        
        proxy_pass http://confluence-backend:8090;
        proxy_set_header Host $host;
        proxy_set_header X-Real-IP $remote_addr;
    }
}

# Confluence 액세스 로그에서 OGNL 관련 키워드 및 비정상적인 POST 요청 검색
grep -Ei '(memberAccess|ognl|java.lang.Runtime|ProcessBuilder)' /var/atlassian/application-data/confluence/logs/atlassian-confluence.log

# 시스템 프로세스 중 비정상적인 자식 프로세스(sh, bash, cmd)가 실행 중인지 확인
ps -ef | grep -i 'confluence' | grep -E '(sh|bash|cmd|powershell)'