Atlassian, Confluence Server ve Confluence Data Center için Questions For Confluence uygulamasını etkileyen sabit kodlanmış kimlik bilgilerinin kullanımına ilişkin kritik bir güvenlik açığını gidermek için düzeltmeler yayınladı.
Kusur, olarak izlendi CVE-2022-26138söz konusu uygulama iki hizmetten birinde etkinleştirildiğinde ortaya çıkar ve “disabledsystemuser” kullanıcı adıyla bir Confluence kullanıcı hesabı oluşturmasına neden olur.
Atlassian’a göre bu hesap, yöneticilerin uygulamadan Confluence Cloud’a veri taşımasına yardımcı olmak için olsa da, aynı zamanda sabit kodlanmış bir parola ile oluşturularak, Confluence içindeki kısıtlanmamış tüm sayfaların varsayılan olarak görüntülenmesine ve düzenlenmesine etkin bir şekilde izin veriyor.
Şirket bir danışma belgesinde, “Sabit kodlanmış parola bilgisine sahip, uzak, kimliği doğrulanmamış bir saldırgan, Confluence’a giriş yapmak ve confluence-users grubunun erişimi olan tüm sayfalara erişmek için bunu kullanabilir” dedi ve “sabit kodlanmış parolayı” ekledi. uygulamanın etkilenen sürümlerini indirip inceledikten sonra elde etmek önemsizdir.”
Confluence 2.7.34, 2.7.35 ve 3.0.2 sürümleri için sorular, 2.7.38 ve 3.0.5 sürümlerinde düzeltmeler bulunan kusurdan etkilenir. Alternatif olarak, kullanıcılar disablesystemuser hesabını devre dışı bırakabilir veya silebilir.
Atlassian, kusurun aktif olarak kullanıldığına dair bir kanıt bulunmadığına dikkat çekse de, kullanıcılar hesap için son kimlik doğrulama zamanını kontrol ederek güvenlik ihlali göstergeleri arayabilirler. “Disablesystemuser için son kimlik doğrulama zamanı boşsa, bu, hesabın var olduğu ancak hiç kimsenin oturum açmadığı anlamına gelir” dedi.
Ayrı olarak, Avustralyalı yazılım şirketi ayrıca, birden fazla ürünü etkileyen sunucu uygulaması filtre dağıtım programı güvenlik açıkları olarak adlandırdığı bir çift kritik kusuru yamalamak için harekete geçti –
- Bambu Sunucu ve Veri Merkezi
- Bitbucket Sunucusu ve Veri Merkezi
- Confluence Sunucusu ve Veri Merkezi
- Kalabalık Sunucu ve Veri Merkezi
- Balıkgözü ve Pota
- Jira Sunucu ve Veri Merkezi ve
- Jira Servis Yönetim Sunucusu ve Veri Merkezi
CVE-2022-26136 ve CVE-2022-26137 olarak izlenen hataların başarılı bir şekilde kullanılması, kimliği doğrulanmamış, uzak bir saldırganın üçüncü taraf uygulamalar tarafından kullanılan kimlik doğrulamasını atlamasına, rastgele JavaScript kodu yürütmesine ve kaynaklar arası kaynak paylaşımını atlatmasına olanak sağlayabilir. (CORS) tarayıcı mekanizması, özel hazırlanmış bir HTTP isteği göndererek.
Şirket, CVE-2022-26137 ile ilgili danışma belgesinde “Atlassian, bu güvenlik açığının temel nedenini gideren güncellemeler yayınladı, ancak bu güvenlik açığının tüm olası sonuçlarını ayrıntılı bir şekilde sıralamadı.”