Patch nu: Kritiske Atlassian-fejl truer virksomhedsapps

Patch nu: Kritiske Atlassian-fejl truer virksomhedsapps

Tidsstempel: 6. december 2023 kl. 5:56
Patch Now: Critical Atlassian Bugs Endanger Enterprise Apps PlatoBlockchain Data Intelligence. Vertical Search. Ai.

Det er tid til at lappe igen: Fire kritiske sikkerhedssårbarheder i Atlassian-software åbner døren til fjernudførelse af kode (RCE) og efterfølgende lateral bevægelse i virksomhedsmiljøer. De er blot de seneste fejl, der er dukket op på det seneste i softwareproducentens samarbejde og DevOps-platforme, som plejer at være et yndet mål for cyberangribere.

Sårbarhederne, som Atlassian udstedte rettelser til tirsdag, inkluderer:

  • CVE-2022-1471 (CVSS sårbarhedsscore på 9.8 ud af 10): Deserialisering i SnakeYAML bibliotek, der påvirker flere Atlassian-softwareplatforme.

  • CVE-2023-22522 (CVSS 9): Autentificeret skabeloninjektionssårbarhed, der påvirker Confluence Server og Data Center. En person, der er logget ind på systemet, selv anonymt, kan injicere usikkert brugerinput på en Confluence-side og opnå RCE, ifølge Atlassian.

  • CVE-2023-22523 (CVSS 9.8): Privilegeret RCE i Assets Discovery-netværksscanningsværktøjet til Jira Service Management Cloud, Server og Data Center. Ifølge Atlassians rådgivning, "Sårbarheden eksisterer mellem Assets Discovery-applikationen (tidligere kendt som Insight Discovery) og Assets Discovery-agenten."

  • CVE-2023-22524 (CVSS 9.6): RCE i Atlassian Companion-appen til macOS, som bruges til filredigering i Confluence Data Center og Server. "En angriber kunne bruge WebSockets til at omgå Atlassian Companions blokeringsliste og MacOS Gatekeeper for at tillade eksekvering af kode," lød meddelelsen.

Atlassian Bugs er katteurt for cyberangribere

De seneste meddelelser kommer hårdt i hælene på en stribe afsløringer af fejl fra Atlassian, som har været bundet til både zero-day og post-patch-udnyttelse.

Atlassian-software er et populært mål for trusselsaktører, især Confluence, som er en populær webbaseret virksomhedswiki, der bruges til samarbejde i cloud- og hybridservermiljøer. Det tillader et-klik-forbindelser til en række forskellige databaser, hvilket gør dets nytte for angribere nonpareil. Mere end 60,000 kunder bruger Confluence, herunder LinkedIn, NASA og New York Times.

Hvis fortid er prolog, bør administratorer rette de seneste fejl med det samme. I oktober udrullede softwarefirmaet f.eks. sikkerhedsrettelser til en max-severity RCE-fejl (CVSS 10) i Confluence Data Center and Server (CVE-2023-22515), som var blevet udnyttet inden patching af en Kina-sponsoreret avanceret vedvarende trussel (APT) sporet som Storm-0062. En række proof-of-concept-udnyttelser dukkede også hurtigt op for det efter afsløringen, hvilket banede vejen for masseudbytningsforsøg.

Hurtigt efter, i november, rejste en anden RCE-fejl hovedet i Confluence Data Center og Server, der var blevet udnyttet som en nul-dag i naturen, oprindeligt opført med en 9.1 CVSS-score. Men en mængde aktiv ransomware og andre cyberangreb efter patches blev frigivet fik Atlassian til at øge sværhedsgraden til 10.

Samme måned afslørede Atlassian, at bambus kontinuerlig integration (CI) og kontinuerlig levering (CD) server til softwareudvikling, såvel som Confluence Data Center og Server, var begge sårbare over for endnu et problem med maksimal alvorlighed - denne gang i Apache Software Foundation's (ASF) ActiveMQ-meddelelsesmægler (CVE-2023-46604, CVSS 10). Fejlen, som blev våbenet som en "n-dag" fejl, blev også hurtigt udstyret med PoC-udnyttelseskode, hvilket gjorde det muligt for en fjernangriber at udføre vilkårlige kommandoer på berørte systemer. Atlassian har udgivet rettelser til begge platforme.

Tidsstempel:

Mere fra Mørk læsning