首页 > 安全 > 正文

Atlassian解决了关键的JIRA身份验证旁路缺陷

最后更新 ：2022.04.24

atlassian固定在其JIRA软件中的临界缺陷，被追踪为 CVE-2022-0540 ，可以利用以绕过认证。

亚特斯人解决了一个关键脆弱性在其JIRA Seraph软件中，被追踪为 CVE-2022-0540 （CVSS得分9.9），可以由未经身份验证的攻击者利用以绕过身份验证。威胁演员可以通过向易受攻击的软件发送专为特制的HTTP请求来触发漏洞。

问题会影响8.13.18之前的Atlassian Jira Server和数据中心版本，版本8.14.0及8.20.6之前，版本8.21.0及以后8.22.0之前。该缺陷在4.13.18之前，4.20.6之前的4.13.18，版本4.14.0及更高版本的缺陷也会影响到4.13.18之前，以及4.22.0之前的版本4.21.0及更高版本。

jira和jira服务管理容易受到其Web Authenti的身份验证旁路阳离子框架，Jira Seraph。尽管漏洞是JIRA的核心，但它影响了在WebWork1操作名称空间级别指定角色的第一和第三方应用程序，并且不会在操作级别指定它。为了使特定的操作受到影响，该操作还需要执行任何其他身份验证或授权检查。阅读公司发布的安全咨询。远程，未经验证的攻击者可以通过发送特殊精心设计的HTTP请求来利用这一点，以使用受影响的配置在WebWork操作中绕过身份验证和授权要求。

该公司还为无法安装固定的用户提供了缓解措施JIRA或JIRA服务管理的版本，正在使用任何受影响的应用程序。它建议用户将任何受影响的应用程序更新为未受到影响的版本。

使用＆nbsp;确定哪些应用程序受到影响＆nbsp; procted＆nbsp; e节和所有V该应用程序受到影响可以通过禁用应用程序来减轻安全风险，直到他们能够安装固定版本的Jira或Jira服务管理。

viettel Cyber Cyber Security的Khoadha报告了脆弱性。

9月，趋势微研究人员发现了加密挖掘活动，这些活动正在积极利用另一个关键的远程代码执行漏洞，该漏洞被跟踪为CVE-2021-26084，在Windows和Linux的Atlassian Confloentions部署中。123]

请投票给安全事务作为最佳欧洲网络安全博客作者奖2022奖2022投票给您的获奖者

在“弱者最佳个人（非商业）安全博客和Tech Whiz”部分中为我投票。技术博客和您选择的其他人。要提名，请访问：
https://docs.google.com/forms/forms/d/e/1faipqlsfxrsfxrximz9qm9iipumqic-iom-iomqic-iom-npqmosfqmosfqmosfznjxrbbbqryjgcow/view/view/view/view/view/view to123]

- END -

    数据加载中，请稍后...
看更多