Atlassian cảnh báo về lỗ hổng xác thực Jira Service Management nghiêm trọng

Atlassian giải thích rằng vấn đề bảo mật ảnh hưởng đến các phiên bản 5.3.0 đến 5.5.0 và tin tặc có thể có "quyền truy cập vào phiên bản Quản lý dịch vụ Jira trong một số trường hợp nhất định."

"Với quyền truy cập ghi vào Thư mục người dùng và email gửi đi được bật trên phiên bản Quản lý dịch vụ Jira, kẻ tấn công có thể có quyền truy cập vào mã thông báo đăng ký được gửi tới người dùng có tài khoản chưa bao giờ đăng nhập" - Atlassian

Lỗ hổng được theo dõi là CVE-2023-22501, có điểm nghiêm trọng nghiêm trọng là 9,4, theo tính toán của Atlassian. Nó có thể được sử dụng để nhắm mục tiêu cụ thể vào các tài khoản bot, do chúng thường xuyên tương tác với những người dùng khác và khả năng cao chúng được đưa vào các vấn đề hoặc yêu cầu của Jira hoặc nhận email có liên kết "Xem yêu cầu" - một trong hai điều kiện là cần thiết để có được mã thông báo đăng ký .

Atlassian đã phát hành các bản cập nhật giải quyết vấn đề và khuyên quản trị viên nên nâng cấp lên các phiên bản 5.3.3, 5.4.2, 5.5.1 và 5.6.0 trở lên.

Nếu không thể cài đặt bản cập nhật ngay lập tức, thì nhà cung cấp đã cung cấp giải pháp thay thế ở dạng tệp JAR có thể được sử dụng để nâng cấp thủ công "plugin dịch vụ-biến-thay-thế", như được mô tả trong các bước bên dưới:

1. Tải xuống JAR phiên bản được đề nghị
2. Dừng Jira
3. Sao chép tệp JAR vào thư mục chính của Jira ("<Jira_Home>/plugins/install-plugins" cho máy chủ hoặc "<Jira_Shared/plugins/installed-plugins"> cho trung tâm dữ liệu)
4. Khởi động lại dịch vụ

Atlassian cũng đã xuất bản một trang Câu hỏi thường gặp giải thích rằng việc nâng cấp được khuyến nghị ngay cả khi các phiên bản không được tiếp xúc với internet công cộng hoặc có một thư mục người dùng bên ngoài có bật đăng nhập một lần (SSO).

Theo cảnh báo, những thay đổi mật khẩu do kẻ tấn công thực hiện sẽ không tạo thông báo qua email cho chủ sở hữu tài khoản, khiến việc phát hiện hành vi xâm phạm trở nên khó khăn hơn.

Tuy nhiên, sau khi áp dụng bản cập nhật bảo mật có sẵn hoặc giải pháp thay thế tệp JAR, quản trị viên có thể kiểm tra tài khoản nào đã thay đổi mật khẩu và đăng nhập kể từ khi cài đặt phiên bản trước, điều này có thể tiết lộ quyền truy cập trái phép vào tài khoản.

Atlassian khuyến nghị quản trị viên buộc đặt lại mật khẩu đối với tất cả người dùng có khả năng bị vi phạm và đảm bảo rằng địa chỉ email của họ là chính xác.

Nếu phát hiện thấy vi phạm, khuyến nghị là tắt ngay lập tức và ngắt kết nối máy chủ bị xâm phạm khỏi mạng để giảm thiểu mức độ tấn công.