Atlassian mengungkapkan kerentanan kritis di seluruh lini produknya • The Register

Atlassian telah memperingatkan pengguna produk Bamboo, Bitbucket, Confluence, Fisheye, Crucible, dan Jira bahwa dua kerentanan kritis mengancam keamanan mereka.

Perusahaan Pemberitahuan keselamatan bulan Juli detail “Kerentanan operator filter Servlet.”

Salah satu kesalahan- CVE-2022-26136 – dideskripsikan sebagai bypass filter servlet arbitrer, artinya penyerang dapat mengirim permintaan HTTP yang dibuat khusus untuk melewati filter servlet khusus yang digunakan oleh aplikasi pihak ketiga untuk menerapkan autentikasi.

Bagian yang menakutkan adalah bahwa bug memungkinkan penyerang jarak jauh yang tidak diautentikasi untuk mem-bypass otentikasi yang digunakan oleh aplikasi pihak ketiga. Bagian yang sangat menakutkan adalah Atlassian tidak memiliki daftar pasti aplikasi yang mungkin terpengaruh.

“Atlassian telah merilis pembaruan yang mengatasi akar penyebab kerentanan ini, tetapi belum sepenuhnya menyebutkan semua kemungkinan konsekuensi dari kerentanan ini,” tambahnya.

CVE yang sama juga dapat dieksploitasi dalam serangan skrip lintas situs: permintaan HTTP yang dibuat khusus dapat melewati filter servlet yang digunakan untuk memvalidasi gadget Atlassian yang sah. “Penyerang yang dapat mengelabui pengguna agar meminta URL jahat dapat menjalankan JavaScript sewenang-wenang di browser pengguna,” jelas Atlassian.

Kesalahan kedua – CVE-2022-26137 – adalah bypass Cross-Origin Resource Sharing (CORS).

Atlassian menjelaskannya sebagai berikut: “Mengirim permintaan HTTP yang dibuat khusus dapat memanggil filter servlet yang digunakan untuk menanggapi permintaan CORS, menghasilkan bypass CORS dengan izin korban.”

Pengguna Confluence memiliki bug lain yang perlu dikhawatirkan: CVE-2022-26138 mengungkapkan bahwa salah satu miliknya Aplikasi pertemuan memiliki hard-coded password untuk mendukung migrasi ke cloud. Itu menjelaskan:

Jika kata sandi itu jatuh ke tangan yang salah, implementasi Confluence adalah buku terbuka.

Bug hadir dalam versi produk Atlassian selama bertahun-tahun. Perbaikan telah diterbitkan dan memerlukan peningkatan. Versi berawan dari produk yang dihosting Atlassian telah diperbaiki.

Berita tentang kerentanan datang hanya enam minggu setelah Atlassian pintu masuk bug kritis lain di Confluence yang diserang secara aktif.

Registri percaya bahwa yang baru ini juga akan menarik perhatian aktor jahat. CVE-2022-26136 kemungkinan besar mewakili peluang signifikan untuk memeriksa integrasi yang telah lama terlupakan untuk potensinya menyediakan jalur ke produk Atlassian, dan dari sana mendatangkan malapetaka dengan bagian jahat JavaScript.

Dengan atau tanpa serangan seperti itu, Atlassian mengalami tahun yang sulit. Tiga kelemahan kritis yang telah ada dalam produk selama bertahun-tahun – dan satu kegagalan cloud yang memalukan – bukan yang dihargai oleh pelanggan korporat. ®