A vulnerabilidade é rastreada como CVE-2023-22501 (pontuação CVSS: 9,4) e foi descrita como um caso de autenticação quebrada com baixa complexidade de ataque.
“Foi descoberta uma vulnerabilidade de autenticação no Jira Service Management Server e no Data Center, que permite que um invasor se faça passar por outro usuário e obtenha acesso a uma instância do Jira Service Management em determinadas circunstâncias”, disse Atlassian.
“Com acesso de gravação a um diretório de usuários e e-mail de saída ativado em uma instância do Jira Service Management, um invasor pode obter acesso a tokens de inscrição enviados a usuários com contas nas quais nunca foram conectados.”
Os tokens, Atlassian observou, podem ser obtidos em qualquer um dos dois cenários –
Ele também alertou que, embora os usuários sincronizados com o serviço Jira por meio de diretórios de usuários somente leitura ou logon único (SSO) não sejam afetados, os clientes externos que interagem com a instância por e-mail são afetados, mesmo quando o SSO está configurado.
O provedor australiano de serviços de software disse que a vulnerabilidade foi introduzida na versão 5.3.0 e afeta todas as versões subsequentes 5.3.1, 5.3.2, 5.4.0, 5.4.1 e 5.5.0. As correções foram disponibilizadas nas versões 5.3.3, 5.3.3, 5.5.1 e 5.6.0 ou posterior.
A Atlassian enfatizou que os sites do Jira hospedados na nuvem por meio de um domínio atlassian[.]net não são afetados pela falha e que nenhuma ação é necessária nesse caso.
A divulgação chega mais de dois meses depois que a empresa fechou duas falhas críticas de segurança Bitbucket Server, Data Center e produtos Crowd (CVE-2022-43781 e CVE-2022-43782) que poderiam ser exploradas para obter execução de código e invocar pontos de extremidade de API privilegiados .
Com as falhas nos produtos Atlassian se tornando um vetor de ataque atraente nos últimos meses, é crucial que os usuários atualizem suas instalações para as versões mais recentes para mitigar possíveis ameaças.
Fonte: https://thehackernews.com/
Uma cidade na Carolina do Norte e um escritório de advogados distritais cobrindo quatro condados…
O surgimento da Nytheon AI marca uma escalada significativa no cenário das plataformas (LLM) de…
Um pesquisador de segurança revelou uma vulnerabilidade crítica de injeção de SOQL no controlador interno…
Falha permite que invasores manipulem o agente de um usuário por meio de um problema…
Um exploit de dia zero, dirigido aos firewalls FortiGate da Fortinet, foi descoberto à venda…
A família SHELBY mostra um exemplo preocupante de malware moderno com design modular, sofisticado e…