Atlassian, Jira Hizmet Yönetimi Sunucusu ve Veri Merkezinde, bir saldırgan tarafından başka bir kullanıcı olarak görünmek ve hassas örneklere yetkisiz erişim elde etmek için kötüye kullanılabilecek kritik bir güvenlik kusurunu çözmek için düzeltmeler yayınladı.
Güvenlik açığı, CVE-2023-22501 (CVSS puanı: 9.4) olarak izleniyor ve düşük saldırı karmaşıklığına sahip bozuk bir kimlik doğrulama durumu olarak tanımlanıyor.
Atlassian, “Jira Hizmet Yönetimi Sunucusu ve Veri Merkezinde, bir saldırganın başka bir kullanıcıyı taklit etmesine ve belirli koşullar altında bir Jira Hizmet Yönetimi örneğine erişim kazanmasına olanak tanıyan bir kimlik doğrulama güvenlik açığı keşfedildi.” Dedi.
“Bir Jira Hizmet Yönetimi örneğinde bir Kullanıcı Dizinine ve giden e-postaya yazma erişimi etkinleştirildiğinde, bir saldırgan, hiç oturum açmamış hesaplara sahip kullanıcılara gönderilen kayıt belirteçlerine erişim sağlayabilir.”
Atlassian, belirteçlerin iki senaryodan birinde elde edilebileceğini kaydetti –
- Saldırgan, bu kullanıcılarla ilgili Jira sorunlarına veya isteklerine dahilse veya
- Saldırgan yönlendirilirse veya bu kullanıcılardan gelen “İsteği Görüntüle” bağlantısı içeren e-postalara başka bir şekilde erişim kazanırsa
Ayrıca, salt okunur Kullanıcı Dizinleri veya çoklu oturum açma (SSO) yoluyla Jira hizmetiyle senkronize edilen kullanıcıların etkilenmemesine karşın, SSO yapılandırılmış olsa bile örnekle e-posta yoluyla etkileşim kuran harici müşterilerin etkilendiği konusunda da uyarıda bulundu.
Avustralyalı yazılım hizmetleri sağlayıcısı, güvenlik açığının 5.3.0 sürümünde ortaya çıktığını ve sonraki tüm 5.3.1, 5.3.2, 5.4.0, 5.4.1 ve 5.5.0 sürümlerini etkilediğini söyledi. 5.3.3, 5.3.3, 5.5.1 ve 5.6.0 veya sonraki sürümlerde düzeltmeler yapılmıştır.
Atlassian, Jira sitelerinin bir atlassian aracılığıyla bulutta barındırıldığını vurguladı[.]net alan adı kusurdan etkilenmez ve bu durumda herhangi bir işlem yapılması gerekmez.
Açıklama, şirketin kod yürütme elde etmek ve ayrıcalıklı API uç noktalarını çağırmak için kullanılabilecek iki kritik güvenlik açığı olan Bitbucket Sunucusu, Veri Merkezi ve Crowd ürünleri (CVE-2022-43781 ve CVE-2022-43782) kapatmasından iki aydan uzun bir süre sonra geldi. .
Atlassian ürünlerindeki kusurların son aylarda çekici bir saldırı vektörü haline gelmesiyle, kullanıcıların potansiyel tehditleri azaltmak için kurulumlarını en son sürümlere yükseltmeleri çok önemlidir.