Atlassian corrige bug crítico no Jira Service Management Server

Empresa lançou versões corrigidas do software e descreveu uma solução alternativa para a falha que pode disponibilizar tokens de acesso a invasores
Da Redação
06/02/2023

Uma vulnerabilidade crítica foi corrigida esta semana no Jira Service Management Server da Atlassian, popular plataforma de gerenciamento de serviços de TI para empresas, que pode permitir que invasores representem usuários e obtenham acesso a tokens de acesso. Se o sistema estiver configurado para permitir inscrição pública, os clientes externos também poderão ser afetados.

O bug foi introduzido no Jira Service Management Server e no Data Center 5.3.0, portanto, as versões 5.3.0 a 5.3.1 e 5.4.0 a 5.5.0 são afetadas. A Atlassian lançou versões corrigidas do software, mas também forneceu uma solução alternativa que envolve a atualização de um único arquivo JAR nas implantações afetadas. As instâncias do Atlassian Cloud não são vulneráveis.

Autenticação quebrada do Jira

A Atlassian descreve a vulnerabilidade, rastreada como CVE-2023-22501, como um problema de autenticação quebrada e a classifica como gravidade crítica de acordo com sua própria escala de gravidade.

“Com acesso de gravação a um diretório de usuários e e-mail de saída ativado em uma instância do Jira Service Management, um invasor pode obter acesso a tokens de inscrição enviados a usuários com contas que nunca foram conectadas”, explicou a empresa em seu comunicado. “O acesso a esses tokens pode ser obtido em dois casos: se o invasor for incluído nos problemas ou solicitações do Jira com esses usuários, ou se o invasor for encaminhado ou obtiver acesso a e-mails contendo um link ‘visualizar solicitação’ desses usuários”, completa a nota.

As contas de bot que foram criadas para funcionar com o Jira Service Management são particularmente suscetíveis a esse cenário, alertou a empresa. Mesmo que a falha não afete os usuários sincronizados por meio de diretórios de usuários somente para leitura ou autenticação single sign-on (SSO), os usuários que interagem com a instância por e-mail ainda são afetados mesmo quando o SSO está ativado.

O Jira Service Management pode ser usado para configurar e gerenciar um centro de serviços que unifica helpdesks em diferentes departamentos, como TI, RH, finanças ou atendimento ao cliente, permitindo que as equipes trabalhem melhor em tarefas compartilhadas. Ele também permite que as empresas gerenciem ativos, realizem inventários, controlem a propriedade e o ciclo de vida, as equipes de TI podem gerenciar a configuração da infraestrutura e rastrear as dependências do serviço, além de criar bases de conhecimento para autoatendimento.

Veja isso
Atlassian alerta para falhas críticas no Jira
Atlassian corrige falhas com CVSS de graus 9 e 10

Dados os diversos recursos que a plataforma suporta e as tarefas para as quais ela pode ser utilizada em um ambiente corporativo, a probabilidade de um grande número de funcionários, prestadores de serviços e clientes terem contas nela é alta, assim como a possibilidade de abuso.

Mitigação da vulnerabilidade do Jira Service Management

A empresa enfatiza que as empresas que não expõem o Jira Service Management publicamente ainda devem atualizar para uma versão corrigida o mais rápido possível. Se eles não puderem atualizar todo o sistema, devem baixar o JAR do plug-in de substituição de variável servicedesk fixo para sua versão específica, interromper o Jira, copiar o arquivo no diretório Jira_Home/plugins/installed-plugins e iniciar o Jira novamente.

Uma vez instalado o JAR corrigido ou a versão corrigida, as empresas podem procurar usuários no banco de dados com a propriedade com.jsm.usertokendeletetask.completed definida como “TRUE” desde que a versão vulnerável tenha sido instalada.

Esses são usuários que podem ter sido afetados, portanto, a próxima etapa é verificar se eles têm os endereços de e-mail corretos. Os usuários internos devem ter o domínio de e-mail correto e os usuários inscritos publicamente devem ter seus nomes de usuário idênticos aos seus endereços de e-mail.Uma redefinição de senha deve ser forçada para todos os usuários potencialmente afetados, o que envolve o envio de um e-mail de confirmação, portanto, é imperativo que seus endereços de e-mail estejam corretos.

A API do JIRA pode ser usada para forçar redefinições de senha, incluindo a expiração de qualquer sessão ativa e o logoff de qualquer invasor em potencial.

Compartilhar:

Últimas Notícias