Atlassian, bir saldırgan tarafından başka bir kullanıcı gibi görünmek ve hassas örneklere yetkisiz erişim elde etmek için kötüye kullanılabilen, Jira Hizmet Yönetimi Sunucusu ve Veri Merkezindeki kritik bir güvenlik kusurunu çözmek için düzeltmeler yayınladı.
bu güvenlik açığı olarak izlenir CVE-2023-22501 (CVSS puanı: 9.4) ve düşük saldırı karmaşıklığına sahip bozuk bir kimlik doğrulama durumu olarak tanımlanmıştır.
Atlassian, “Jira Service Management Server and Data Center’da, bir saldırganın başka bir kullanıcıyı taklit etmesine ve belirli koşullar altında bir Jira Service Management örneğine erişim kazanmasına izin veren bir kimlik doğrulama güvenlik açığı keşfedildi.” söz konusu.
“Bir Jira Hizmet Yönetimi örneğinde bir Kullanıcı Dizinine ve giden e-postaya yazma erişimi etkinleştirildiğinde, bir saldırgan, hiç oturum açmamış hesaplara sahip kullanıcılara gönderilen kayıt belirteçlerine erişim sağlayabilir.”
Atlassian, belirteçlerin iki senaryodan birinde elde edilebileceğini kaydetti –
- Saldırganın, bu kullanıcılarla ilgili Jira sorunlarına veya isteklerine dahil olması veya
- Saldırgan yönlendirilirse veya bu kullanıcılardan gelen “İsteği Görüntüle” bağlantısı içeren e-postalara başka bir şekilde erişim kazanırsa
aynı zamanda uyardı salt okunur Kullanıcı Dizinleri veya çoklu oturum açma (SSO) yoluyla Jira hizmetiyle eşitlenen kullanıcılar etkilenmezken, SSO yapılandırılsa bile örnekle e-posta yoluyla etkileşim kuran harici müşteriler etkileniyor.
Avustralyalı yazılım hizmetleri sağlayıcısı, güvenlik açığının 5.3.0 sürümünde ortaya çıktığını ve sonraki tüm 5.3.1, 5.3.2, 5.4.0, 5.4.1 ve 5.5.0 sürümlerini etkilediğini söyledi. 5.3.3, 5.3.3, 5.5.1 ve 5.6.0 veya sonraki sürümlerde düzeltmeler yapılmıştır.
Atlassian, Jira sitelerinin bir atlassian aracılığıyla bulutta barındırıldığını vurguladı[.]net alan adı kusurdan etkilenmez ve bu durumda herhangi bir işlem yapılması gerekmez.
Açıklama, şirketin kod yürütme elde etmek ve ayrıcalıklı API uç noktalarını çağırmak için kullanılabilecek iki kritik güvenlik açığı olan Bitbucket Sunucusu, Veri Merkezi ve Crowd ürünlerini (CVE-2022-43781 ve CVE-2022-43782) kapatmasından iki aydan uzun bir süre sonra geldi. .
Atlassian ürünlerindeki kusurların son aylarda çekici bir saldırı vektörü haline gelmesiyle, kullanıcıların potansiyel tehditleri azaltmak için kurulumlarını en son sürümlere yükseltmeleri çok önemlidir.