Jira Service Desk kayıt olanağının kötüye kullanılması nedeniyle kimliği doğrulanmış kusurun ciddiyeti arttı
Atlassian’ın popüler sorun izleme ve proje yönetimi yazılımı Jira, bir güvenlik açığına karşı savunmasızdı. sunucu tarafı istek sahteciliği (SSRF) araştırmacıların kimlik bilgileri almadan kötüye kullanabildikleri kusur.
Assetnote CTO’su ve kurucusu Shubham Shah, “Jira örneğinin yapılandırmasına bağlı olarak bu sorundan yararlanmak için Jira’da kullanıcı hesapları oluşturmanın birden fazla yolu var” dedi. Blog yazısı.
Buna, genellikle bir self servis mekanizması sağlamak amacıyla etkinleştirilen Jira Hizmet Masası’nın Kayıtlar işlevinin kötüye kullanılması da dahildir.
Shah, “Önce Jira Service Desk’e kaydolarak ve ardından bu hesabı Jira Core REST API’lerine erişmek için kullanarak bu kimlik doğrulama sonrası güvenlik açığından başarıyla yararlanmayı başardık” dedi.
Değişken etki
CVE-2022-26135, ‘yüksek önem’, tam okuma olarak izlenir SSRF Shah, “saldırganların herhangi bir HTTP yöntemi, başlık ve gövde ile rastgele URL’lere istekte bulunmalarına izin veren” Jira Sunucu Çekirdeğinde bulunduğunu söyledi.
Sorun, Jira ve Jira Service Management ile birlikte verilen Jira için Mobile Plugin’de kullanılan toplu HTTP uç noktasını etkiler.
“Güvenlik açığı bulunan uç noktanın gövdesindeki yöntem parametresi aracılığıyla amaçlanan URL’nin HTTP yöntemini ve konumunu kontrol etmek mümkündür” güvenlik danışmanlığı Atlassian’dan.
“Jira örneğinin konuşlandırıldığı ortama bağlı olarak, bu hatanın etkisi değişir” diye devam etti. “Örneğin, AWS’de dağıtıldığında hassas kimlik bilgilerini sızdırabilir.”
İLİŞKİLİ Gelen! Atlassian Confluence saldırıları hızlı yama için hızlı çağrılar yapıyor
A kavram kanıtı istismarı Assetnote araştırmacıları tarafından oluşturulan, Jira Core veya Jira Service Desk’te bir hesap açmaya çalışır ve ardından otomatik olarak SSRF güvenlik açığı.
Kusur 21 Nisan’da Atlassian’ın güvenlik ekibine bildirildi ve yamalar 29 Haziran’da indi.
Jira ve Jira Service Management’ın önceki tüm sürümleri bu güvenlik açığından etkilenir.
Araştırmacılar için dersler
Araştırmacılar, SSRF’yi bir süre için tersine mühendislik yamalarından sonra buldular. Seraph’ta kimlik doğrulama atlama güvenlik açığı Jira için Mobil Eklentiyi de etkileyen Nisan 2022’de açıklandı.
Shah, “Satıcı tavsiyelerini değerlendirmek, yamalar ve etkilenen bileşenlerin tersine mühendislik bazen yeni güvenlik açıklarının keşfedilmesine yol açabilir” dedi.
Ayrıca diğer araştırmacılara, “güvenlik açıkları yoluyla kimlik doğrulamayı atlamak mümkün olmadığında bile, uygulamanın tam bağlamını ve işlevselliklerini göz önünde bulundurarak, daha sonra keşfedilen sorunlardan yararlanmak için alternatif yöntemler belirlemek için” tavsiyede bulundu.kimlik doğrulama saldırı yüzeyi”.
KAÇIRMAYIN CWE Top 25: Bunlar 2022’nin en tehlikeli yazılım zayıflıkları