Atlassian hat veröffentlichte Fixes zum Patchen einer neuen kritischen Schwachstelle in Jira Service Management Server und Data Center. Die Sicherheitslücke könnte Angreifern ermöglichen, sich als Jira-Benutzer auszugeben und unbefugten Zugriff auf betroffene Instanzen zu erhalten.
Die Sicherheitslücke wird als CVE-2023-22501 und hat einen kritischen Schweregrad
(CVSS-Score) von 9,4. Das Unternehmen hat bestätigt, dass der Fehler die Jira-Versionen 5.3.0, 5.3.1, 5.3.2, 5.4.0, 5.4.1 und 5.5.0 betrifft.
„Diese Empfehlung offenbart eine Sicherheit mit kritischem Schweregrad Sicherheitslücke, die in Version 5.3.0 von Jira Service Management Server and Data Center eingeführt wurde“, erklärte Atlassian. „Wenn Schreibzugriff auf ein Benutzerverzeichnis und ausgehende E-Mails auf einer Jira Service Management-Instanz aktiviert sind, könnte ein Angreifer Zugriff auf Registrierungstoken erhalten, die an Benutzer mit Konten gesendet werden, bei denen noch nie angemeldet war.“
Laut Atlassian könnten die Angreifer Zugriff auf Token erhalten, wenn sie in Jira-Problemen oder-Anfragen enthalten sind. Es ist auch möglich, dass der Hacker unbefugten Zugriff auf vertrauliche E-Mails mit „View Request“-Links erhält.
Atlassian betonte, dass diese Angriffe insbesondere auf Bot-Konten abzielen, die für die Zusammenarbeit mit Jira Service Management erstellt wurden. Die Schwachstelle kann auch externe Kundenkonten in Instanzen mit Single Sign-On betreffen. Es wirkt sich jedoch nicht auf Jira-Sites aus, auf die über eine atlassian.net-Domäne (Atlassian Cloud-Instanzen) zugegriffen wird.
Atlassian fordert Kunden dringend auf, ihre Jira-Installationen zu aktualisieren
Atlassian hat Sicherheitsupdates für veröffentlicht Beheben Sie die Authentifizierungsschwachstelle in den Versionen 5.3.3, 5.4.2, 5.5.1 und 5.6.0 von Jira Service Management Server und Data Center. Das Unternehmen hat Kunden empfohlen, das neueste Update so schnell wie möglich zu installieren, um ihre Jira-Instanzen vor Cyberangriffen zu schützen.
Mittlerweile hat Atlassian auch eine Workaround-Lösung für Unternehmen bereitgestellt, die das Update nicht sofort bereitstellen können ihre Umgebungen. Diese Kunden können eine JAR-Datei verwenden, um das „servicedesk-variable-substitution-plugin“ manuell zu aktualisieren. Weitere Einzelheiten finden Sie in der Sicherheitsempfehlung.