Krytyczna podatność w Jira Core. Można ominąć uwierzytelnienie [CVE-2022-0540]. Łatajcie ASAP. Są też dobre wieści…

Opis podatności tutaj:

Jira and Jira Service Management are vulnerable to an authentication bypass in its web authentication framework, Jira Seraph. Although the vulnerability is in the core of Jira, it affects first and third party apps that specify roles-required at the webwork1 action namespace level and do not specify it at an action level.

Więc od razu dobra wiadomość: podatne są / mogą być dodatkowe appki/pluginy instalowane wraz z Jirą (z innej strony – któż używa takiej absolutnie „gołej” instalacji?).

Ano właśnie sam Atlassian wskazuje dwie swoje appki, które są podatne:

• Insight – Asset Management (z adnotacją: Versions 9.x are bundled with Jira Service Management Server and Data Center 4.15.0 and later)
• Mobile Plugin for Jira Data Center and Server (z adnotacją: Bundled with Jira Server, Jira Software Server and Data Center 8.0.0 and later, Bundled with Jira Service Management Server and Data Center 4.0.0 and later)

W opisie podatności znajdziecie również dziesiątki appek / pluginów, które są podatne. Poniżej fragment:

Czym grozi wykorzystanie podatności (przez niezalogowanego użytkownika)? To zależy co dana aplikacja / plugin umożliwia (w szczególności może to być nawet wykonanie wrogiego kodu na serwerze).

Podatne wersje Jiry:

• < 8.13.18
• 8.14.x
• 8.15.x
• 8.16.x
• 8.17.x
• 8.18.x
• 8.19.x
• 8.20.x poniżej 8.20.6
• 8.21.x

Podatne wersje Jira Service Management

• < 4.13.18
• 4.14.x
• 4.15.x
• 4.16.x
• 4.17.x
• 4.18.x
• 4.19.x
• 4.20.x poniżej 4.20.6
• 4.21.x

Na koniec – tutaj dostępne jest aktualizowane FAQ.

~Michał Sajdak