Atlassian 解决了一个关键的 Jira 身份验证绕过漏洞
Atlassian解决了其Jira Seraph软件中的一个严重漏洞，该漏洞编号为CVE-2022-0540（CVSS 评分 9.9），未经身份验证的攻击者可以利用该漏洞绕过身份验证。威胁参与者可以通过向易受攻击的软件发送特制的HTTP 请求来触发漏洞。
该漏洞会对Jira软件多版本产生影响，比如：8.13.18之前的Atlassian Jira Server、Data Center版本、8.14.0到8.20.6之间的版本、8.21.0到8.22.0之间的版本。该漏洞还影响 4.13.18 之前的Atlassian Jira Service Management Server和Data Center版本、4.14.0到4.20.6之间的版本、4.21.0到4.22.0之间的版本。
根据公司发布的相关公告，Jira和Jira Service Management容易受到其Web身份验证框架中的身份验证绕过的攻击。尽管该漏洞位于Jira的核心，但它会影响在webwork1操作命名空间需要特定角色的之一方和第三方应用程序。对于被影响的特定操作，该操作还不需要执行任何其他身份验证或授权检查。远程、未经身份验证的攻击者可以通过发送特制的HTTP请求来利用这一点，以使用受影响的配置绕过WebWork操作中的身份验证和授权要求。
该公司为那些无法安装固定版本的Jira或Jira Service Management并使用任何受影响的应用程序的用户提供了缓解措施。它建议用户将任何受影响的应用程序更新到不受影响的版本。使用“确定受影响的应用程序”部分中列出的任何应用程序以及受影响的所有应用程序版本的客户可以通过禁用该应用程序来降低安全风险，直到他们能够安装Jira或Jira Service Management的固定版本。
该漏洞由Viettel Cyber Security的Khoadha报告。9月，趋势科技研究人员在Windows和Linux 的Atlassian Confluence部署中发现了正在积极利用另一个关键远程代码执行漏洞的加密挖掘活动，该漏洞编号为CVE-2021-26084 。
转自 FreeBuf，原文链接：https://www.freebuf.com/news/330970.html
封面来源于 *** ，如有侵权请联系删除
“Atlassian 解决了一个关键的 Jira 身份验证绕过漏洞” 的相关文章
开源倡议组织就俄乌冲突期间的乱象表态 不希望将开源工作“武器化”
在俄乌冲突爆发后的一个月时间里，许多组织机构纷纷颁布了针对俄罗斯的制裁。但是对于开源社区来说，将制裁的范围无限扩大，显然并不是声援乌克兰的最佳途径。开放源码倡议（Open Source Initiative）组织指出：尽管大多数软件开发者只是在运行时显示反战或亲乌克兰的信息，但还是有个别项目的维护者...
英特尔和 Arm 的 CPU 再被发现存在重大安全漏洞 Spectre-HBB
BHI是一种影响大多数英特尔和Arm CPU的新型投机执行漏洞，它攻击分支全局历史而不是分支目标预测。不幸的是，这些公司以前对Spectre V2的缓解措施也无法保护BHI的威胁，尽管AMD处理器大多是免疫的。消息传出后，供应商应该很快就会发布安全补丁，而最新得Linux内核已经打了补丁。...
欧洲立法者对欧盟国家使用 Pegasus 间谍软件展开调查
欧洲议会周四投票决定成立一个新的 “调查委员会”，调查针对欧洲成员国获取和使用Pegasus（飞马）手机间谍软件的指控。议员们基本上投票赞成设立该委员会，该委员会将调查欧盟27个成员国使用Pegasus和其他监控间谍软件的情况。 调查委员会允许立法者调查可能违反欧洲法律的行为。欧洲议会在一份声明中说...
DNS 曝高危漏洞，影响数百万物联网设备
近日，Nozomi Networks发出警告，uClibc库的域名系统 (DNS) 组件中存在一个高危漏洞，编号为CVE-2022-05-02，该漏洞将影响所有版本uClibc-ng库的域名系统（DNS），因此，数百万台使用uClibc库的物联网设备都也将受到影响。 资料显示，uClibc库专门为...
Google：2021 年 Play Store 禁止 19 万恶意账户 删除 120 万个恶意 APP
隐私和安全成为了 Play Store 的更高优选项。Google 近期封杀第三方通话录音应用之外，还引入了“data safety”（数据安全）部分，要求开发人员提供更多关于他们收集的任何用户数据及其背后目的的信息。现在，Google 公开了 2021 年关于 Play Store 安全的统计数据...
俄罗斯外卖应用的泄露数据中包含 GRU 特勤人员的用餐习惯
据The Verge报道，根据Bellingcat的调查结果，俄罗斯外卖平台Yandex Food的一次大规模数据泄漏暴露了属于那些与俄罗斯秘密警察有关的递送地址、电话号码、姓名和配送指示。 Yandex Food是俄罗斯大型互联网公司Yandex的子公司，于3月1日首次报告了数据泄漏事件，将其归...
评论列表
发表评论
