Atlassian 解决了一个关键的 Jira 身份验证绕过漏洞

http://hackernews.cc/wp-content/uploads/2022/04/%E5%BE%AE%E4%BF%A1%E5%9B%BE%E7%89%87_20220425160710.png

Atlassian解决了其Jira Seraph软件中的一个严重漏洞，该漏洞编号为CVE-2022-0540（CVSS 评分 9.9），未经身份验证的攻击者可以利用该漏洞绕过身份验证。威胁参与者可以通过向易受攻击的软件发送特制的HTTP 请求来触发漏洞。

该漏洞会对Jira软件多版本产生影响，比如：8.13.18之前的Atlassian Jira Server、Data Center版本、8.14.0到8.20.6之间的版本、8.21.0到8.22.0之间的版本。该漏洞还影响 4.13.18 之前的Atlassian Jira Service Management Server和Data Center版本、4.14.0到4.20.6之间的版本、4.21.0到4.22.0之间的版本。

根据公司发布的相关公告，Jira和Jira Service Management容易受到其Web身份验证框架中的身份验证绕过的攻击。尽管该漏洞位于Jira的核心，但它会影响在webwork1操作命名空间需要特定角色的第一方和第三方应用程序。对于被影响的特定操作，该操作还不需要执行任何其他身份验证或授权检查。远程、未经身份验证的攻击者可以通过发送特制的HTTP请求来利用这一点，以使用受影响的配置绕过WebWork操作中的身份验证和授权要求。

该公司为那些无法安装固定版本的Jira或Jira Service Management并使用任何受影响的应用程序的用户提供了缓解措施。它建议用户将任何受影响的应用程序更新到不受影响的版本。使用“确定受影响的应用程序”部分中列出的任何应用程序以及受影响的所有应用程序版本的客户可以通过禁用该应用程序来降低安全风险，直到他们能够安装Jira或Jira Service Management的固定版本。

该漏洞由Viettel Cyber Security的Khoadha报告。9月，趋势科技研究人员在Windows和Linux 的Atlassian Confluence部署中发现了正在积极利用另一个关键远程代码执行漏洞的加密挖掘活动，该漏洞编号为CVE-2021-26084 。

转自 FreeBuf，原文链接：https://www.freebuf.com/news/330970.html

封面来源于网络，如有侵权请联系删除