Atlassian ha publicado correcciones para resolver una falla de seguridad crítica en Jira Service Management Server and Data Center que podría ser abusada por un atacante para hacerse pasar por otro usuario y obtener acceso no autorizado a instancias susceptibles.
El vulnerabilidad es rastreado como CVE-2023-22501 (puntaje CVSS: 9.4) y ha sido descrito como un caso de autenticación rota con baja complejidad de ataque.
“Se descubrió una vulnerabilidad de autenticación en Jira Service Management Server and Data Center que permite a un atacante hacerse pasar por otro usuario y obtener acceso a una instancia de Jira Service Management en determinadas circunstancias”, Atlassian dicho.
“Con el acceso de escritura a un Directorio de usuarios y el correo electrónico saliente habilitado en una instancia de Jira Service Management, un atacante podría obtener acceso a los tokens de registro enviados a usuarios con cuentas en las que nunca se ha iniciado sesión”.
Los tokens, señaló Atlassian, se pueden obtener en cualquiera de los dos escenarios:
- Si el atacante está incluido en los problemas o solicitudes de Jira con estos usuarios, o
- Si el atacante es reenviado u obtiene acceso a correos electrónicos que contienen un enlace “Ver solicitud” de estos usuarios
También advertido que si bien los usuarios que están sincronizados con el servicio de Jira a través de directorios de usuarios de solo lectura o inicio de sesión único (SSO) no se ven afectados, los clientes externos que interactúan con la instancia por correo electrónico se ven afectados, incluso cuando SSO está configurado.
El proveedor de servicios de software australiano dijo que la vulnerabilidad se introdujo en la versión 5.3.0 y afecta a todas las versiones posteriores 5.3.1, 5.3.2, 5.4.0, 5.4.1 y 5.5.0. Las correcciones están disponibles en las versiones 5.3.3, 5.3.3, 5.5.1 y 5.6.0 o posteriores.
Atlassian enfatizó que los sitios de Jira están alojados en la nube a través de un atlassian[.]net no se ven afectados por la falla y que no se requiere ninguna acción en este caso.
La divulgación llega más de dos meses después de que la empresa cerrara dos brechas de seguridad críticas Bitbucket Server, Data Center y Crowd Products (CVE-2022-43781 y CVE-2022-43782) que podrían explotarse para obtener la ejecución de código e invocar puntos finales de API privilegiados. .
Dado que las fallas en los productos de Atlassian se han convertido en un atractivo vector de ataque en los últimos meses, es crucial que los usuarios actualicen sus instalaciones a las últimas versiones para mitigar las posibles amenazas.