תיקון עכשיו: באגים קריטיים אטלסיאניים מסכנים אפליקציות ארגוניות

תיקון עכשיו: באגים קריטיים אטלסיאניים מסכנים אפליקציות ארגוניות

חותמת זמן: 6 בדצמבר, 2023 5:56
תיקון עכשיו: באגים קריטיים אטלסיאניים מסכנים אפליקציות ארגוניות PlatoBlockchain Data Intelligence. חיפוש אנכי. איי.

הגיע הזמן לתקן שוב: ארבע פרצות אבטחה קריטיות בתוכנת Atlassian פותחות את הדלת לביצוע קוד מרחוק (RCE) ולתנועה לרוחב לאחר מכן בתוך סביבות ארגוניות. הם רק הבאגים האחרונים שצצו לאחרונה בשיתוף הפעולה של יצרנית התוכנה ובפלטפורמות DevOps, אשר נוטות להיות יעד מועדף עבור תוקפי סייבר.

הפגיעויות, שאטלסיאן פרסמה תיקונים עבורן ביום שלישי, כוללות:

  • CVE-2022-1471 (ציון חומרת פגיעות CVSS של 9.8 מתוך 10): דה-סריאליזציה ב- SnakeYAML ספרייה, המשפיעה על פלטפורמות תוכנה מרובות של אטלסיאן.

  • CVE-2023-22522 (CVSS 9): פגיעות הזרקת תבנית מאומתת המשפיעה על שרת Confluence ומרכז הנתונים. מישהו שנכנס למערכת, אפילו באופן אנונימי, יכול להחדיר קלט משתמש לא בטוח לדף Confluence ולהשיג RCE, לפי Atlassian.

  • CVE-2023-22523 (CVSS 9.8): RCE מוגן בכלי סריקת הרשת Assets Discovery עבור Jira Service Management Cloud, Server ו-Data Center. על פי הייעוץ של Atlassian, "הפגיעות קיימת בין אפליקציית Assets Discovery (שנודעה בעבר בשם Insight Discovery) לבין סוכן Assets Discovery."

  • CVE-2023-22524 (CVSS 9.6): RCE באפליקציית Atlassian Companion עבור macOS, המשמשת לעריכת קבצים ב-Confluence Data Center ובשרת. "תוקף יכול להשתמש ב-WebSockets כדי לעקוף את רשימת החסימות של Atlassian Companion ו-MacOS Gatekeeper כדי לאפשר ביצוע קוד", נכתב בייעוץ.

באגים של אטלסיאן הם תוקפנות לתוקפי סייבר

העצות האחרונות באות קשה בעקבות שורה של גילויי באגים של Atlassian, שהיו קשורים הן לניצול יום אפס והן לאחר תיקון.

תוכנת אטלסיאן היא יעד פופולרי עבור גורמי איומים, במיוחד Confluence, שהיא ויקי ארגוני פופולרי מבוסס אינטרנט המשמש לשיתוף פעולה בסביבות ענן וסביבות שרתים היברידיות. הוא מאפשר חיבורים בלחיצה אחת למגוון מסדי נתונים שונים, מה שהופך את השירות שלו לתוקפים ללא התאמה. יותר מ-60,000 לקוחות משתמשים ב-Confluence, כולל לינקדאין, נאס"א והניו יורק טיימס.

אם העבר הוא פרולוג, מנהלי מערכת צריכים לתקן את הבאגים האחרונים באופן מיידי. באוקטובר, למשל, חברת התוכנה פרסמה תיקוני אבטחה עבור באג RCE בדרגת חומרה מקסימלית (CVSS 10) במרכז הנתונים והשרת Confluence (CVE-2023-22515), אשר נוצל לפני התיקון על ידי איום מתמשך מתקדם (APT) בחסות סין, במעקב כ-Storm-0062. שורה של מעללי הוכחה למושג גם צצה עבורו במהירות לאחר החשיפה, וסללה את הדרך לניסיונות ניצול המוניים.

זמן קצר לאחר, בנובמבר, באג RCE נוסף הרים את ראשו במרכז הנתונים והשרת של Confluence, שניצלו כיום אפס בטבע, רשום במקור עם ציון 9.1 CVSS. עם זאת, שפע של תוכנות כופר אקטיביות והתקפות סייבר אחרות לאחר פרסום התיקונים גרם לאטלסיאן להעלות את ציון החומרה ל-10.

באותו חודש, אטלסיאן חשף כי הבמבוק אינטגרציה מתמשכת (CI) ואספקה ​​מתמשכת (CD) שרת לפיתוח תוכנה, כמו גם Confluence Data Center ו-Server, היו שניהם פגיעים לבעיה נוספת בדרגת חומרה מקסימלית - הפעם בקרן Apache Software Foundation (ASF) מתווך הודעות ActiveMQ (CVE-2023-46604, CVSS 10). הבאג, שהופעל כנשק באג "יום יום"., צויד במהירות גם בקוד ניצול PoC, המאפשר לתוקף מרוחק לבצע פקודות שרירותיות במערכות מושפעות. Atlassian פרסמה תיקונים עבור שתי הפלטפורמות.

בול זמן:

עוד מ קריאה אפלה