Atlassian 解决了一个关键的 Jira 身份验证绕过漏洞
Atlassian解决了其Jira Seraph软件中的一个严重漏洞，该漏洞编号为CVE-2022-0540（CVSS 评分 9.9），未经身份验证的攻击者可以利用该漏洞绕过身份验证。威胁参与者可以通过向易受攻击的软件发送特制的HTTP 请求来触发漏洞。
该漏洞会对Jira软件多版本产生影响，比如：8.13.18之前的Atlassian Jira Server、Data Center版本、8.14.0到8.20.6之间的版本、8.21.0到8.22.0之间的版本。该漏洞还影响 4.13.18 之前的Atlassian Jira Service Management Server和Data Center版本、4.14.0到4.20.6之间的版本、4.21.0到4.22.0之间的版本。
根据公司发布的相关公告，Jira和Jira Service Management容易受到其Web身份验证框架中的身份验证绕过的攻击。尽管该漏洞位于Jira的核心，但它会影响在webwork1操作命名空间需要特定角色的之一方和第三方应用程序。对于被影响的特定操作，该操作还不需要执行任何其他身份验证或授权检查。远程、未经身份验证的攻击者可以通过发送特制的HTTP请求来利用这一点，以使用受影响的配置绕过WebWork操作中的身份验证和授权要求。
该公司为那些无法安装固定版本的Jira或Jira Service Management并使用任何受影响的应用程序的用户提供了缓解措施。它建议用户将任何受影响的应用程序更新到不受影响的版本。使用“确定受影响的应用程序”部分中列出的任何应用程序以及受影响的所有应用程序版本的客户可以通过禁用该应用程序来降低安全风险，直到他们能够安装Jira或Jira Service Management的固定版本。
该漏洞由Viettel Cyber Security的Khoadha报告。9月，趋势科技研究人员在Windows和Linux 的Atlassian Confluence部署中发现了正在积极利用另一个关键远程代码执行漏洞的加密挖掘活动，该漏洞编号为CVE-2021-26084 。
转自 FreeBuf，原文链接：https://www.freebuf.com/news/330970.html
封面来源于 *** ，如有侵权请联系删除
“Atlassian 解决了一个关键的 Jira 身份验证绕过漏洞” 的相关文章
俄罗斯 Sber 银行建议其客户暂时停止软件更新
受俄乌冲突影响，俄罗斯 Sber 银行建议其客户暂时停止安装任何应用程序的软件更新，因为担心这些软件可能包含专门针对俄罗斯用户的恶意代码，被一些人称为“抗议软件”（protestware）。 Sber 的公告写道：“目前，挑衅性媒体内容被引入免费分发的软件的情况已经变得更加频繁。此外，各种内容和...
关键 SonicOS 漏洞影响 SonicWall 防火墙设备
Hackernews 编译，转载请注明出处： SonicWall 发布了安全更新，其中包含一个跨多个防火墙设备的关键漏洞，未经身份验证的远程攻击者可以将其武器化，以执行任意代码并导致拒绝服务(DoS)情况。 根据CVE-2022-22274 (CVSS 得分: 9.4)的跟踪记录，...
研究人员谈论潜在的没有性能成本的 CPU 安全漏洞缓解措施
一位安全研究员在上周末的自由和开源软件开发者欧洲会议（FOSDEM）上围绕缓解像Spectre和Meltdown这样的处理器漏洞发表演讲，所提出的方式力求让性能成本可以忽略不计。 Cyberus科技公司的Sebastian Eydam在2022年FOSDEM会议上发言，谈到有可能在几乎没有性能成本...
据称黑客泄露了多达 37GB 的来自微软的源代码
据称，一个黑客组织泄露了微软37GB的源代码，这些代码与包括Bing和Cortana在内的数百个项目有关，这是一系列重大网络安全事件中的最新一起。Lapsus$黑客组织在周一晚上公开发布了一个9GB的压缩文件。据称，该7zip档案包含了从微软获得的250多个内部项目。 据称这些数据来自微软的Az...
苹果尚未修补 macOS Big Sur 与 Catalina 的关键漏洞
尽管发布了一个更新来解决macOS Monterey中的两个零日漏洞，但苹果还没有将其应用于最后两个macOS版本，这可能会让多达40%正在使用的Mac计算机处于危险之中。 苹果在2022年3月31日对macOS Monterey的更新中解决了这些关键的漏洞。然而，到目前为止，它还没有更新macO...
微软禁用 MSIX AppX 安装程序以使用户免遭 Emotet、BazarLoader 类威胁
微软今天正式宣布，它已经禁用了MSIX应用安装程序协议以防止恶意攻击。该协议允许用户直接从网络服务器上安装各种应用程序，而不需要先将其下载到本地存储。当时的想法是，这种方法将为用户节省空间，因为不需要下载整个MSIX包。 然而，这种Windows应用程序安装包后来被发现用来分发恶意的PDF文件，如...
评论列表
发表评论
