Jira Seraph身份验证绕过漏洞风险提示(CVE-2022-0540)

admin 2022年5月7日23:23:58安全漏洞评论25 views2156字阅读7分11秒阅读模式
Jira Seraph身份验证绕过漏洞风险提示(CVE-2022-0540)


漏洞公告

近期安恒信息监测到一则Jira官方发布安全公告,披露了一个Jira Seraph 中的身份验绕过漏洞,漏洞编号CVE-2022-0540。攻击者可利用该漏洞绕过权限校验,可导致敏感信息泄漏,该漏洞在特定条件下允许攻击者远程执行命令,建议客户尽快做好自查工作,目前安恒信息相关产品已实现针对于该漏洞的检测和防护能力。

官方公告链接:

https://confluence.atlassian.com/jira/jira-security-advisory-2022-04-20-1115127899.html



影响范围

Jira Core Server、Jira Software Server、Jira Software Data Center受影响的版本:

    All versions before 8.13.18

    8.14.x

    8.15.x

    8.16.x

    8.17.x

    8.18.x

    8.19.x

    8.20.x before 8.20.6

    8.21.x

修复版本:

    8.13.x >= 8.13.18

    8.20.x >= 8.20.6

    All versions >= 8.22.0


Jira Service Management Server、Jira Service Management Data Center受影响的版本:

    All versions before 4.13.18

    4.14.x

    4.15.x

    4.16.x

    4.17.x

    4.18.x

    4.19.x

    4.20.x before 4.20.6

    4.21.x

修复版本:

    4.13.x >= 4.13.18

    4.20.x >= 4.20.6

    All versions >= 4.22.0



漏洞描述

Jira Seraph身份验证绕过漏洞(CVE-2022-0540):据分析,攻击者可利用该漏洞绕过权限校验,可导致敏感信息泄漏,该漏洞在特定条件下允许攻击者远程执行命令。

细节是否公开 POC状态 EXP状态 野利用
未公开 未公开 未知




缓解措施

高危:目前外界Exp/PoC暂未公开,但可以通过补丁对比方式定位漏洞触发点并开发漏洞利用代码,目前官方已发布安全更新,建议部署相关产品的用户及时测试并升级到漏洞修复的版本


官方修复:

目前Jira官方已发布安全补丁修复此漏洞,建议及时升级Jira来修复此漏洞。

相关链接:https://jira.atlassian.com/browse/JRASERVER-73650


临时缓解措施:

禁用不安全的插件可临时缓解此漏洞,受影响的公开插件列表可参考:

https://confluence.atlassian.com/jira/jira-security-advisory-2022-04-20-1115127899.html#



产品防护方案

目前安恒信息防护类产品均已经集成漏洞防护能力,可通过前往“安恒社区”下载对应产品的策略升级包进行升级。


AiLPHA大数据平台

AiLPHA大数据平台的流量探针(AiNTA)在第一时间加入了对该漏洞的检测规则,请将规则包升级到1.1.631版本(AiNTA-v1.2.2_release_ruletag_1.1.631)及以上版本。

规则名称:JiraServiceManagement Seraph权限绕过漏洞(CVE-2022-0540)

规则编号:93009417

AiNTA流探针规则升级方法:系统管理->手动升级,选择“上传升级包”。升级成功后,规则版本会变为最新的版本号。请从AiLPHA安全中心下载规则包。

AiLPHA安全中心地址:

https://ailpha.dbappsecurity.com.cn/index.html#/login

如果没有账号,请从页面注册账号。


明御®APT攻击预警平台

APT攻击预警平台已经在第一时间加入了对该漏洞的检测,请将规则包升级到GoldenEyeIPv6_7DF0C_strategy2.0.25930.220507.1及以上版本。


扫描器

(1)明鉴漏洞扫描系统已具备CVE-2022-0540的检测能力,将策略库升级至V1.3.646.611版本。

升级方法:系统管理-系统服务-系统升级-立即升级 可通过网络在线升级至最新版本,或通过离线下载升级包后至系统管理-系统服务-系统升级-选择离线包上传升级包,升级成功后策略库为最新版本。

策略库离线下载地址:http://www.websaas.com.cn:18081/pages/productInfo.html?id=c189a3e6-1319-bc3e-434c-d263de0dd754

(2)云鉴版漏洞扫描系统已具备CVE-2022-0540的检测能力,将策略库升级至V1.3.646.611版本,具体的升级方式为离线上传更新。具体升级方式可联系安恒信息技术支持。

(3)WebScan7.0(原Web应用弱点扫描器) 已具备最新的Atlassian Jira身份验证绕过(CVE-2022-0540)的检测能力,将策略库升级至v1.0.1.19版本,具体的升级方式为一键在线升级。



安恒信息CERT

2022年5月

原文始发于微信公众号(安恒信息CERT):Jira Seraph身份验证绕过漏洞风险提示(CVE-2022-0540)

特别标注: 本站(CN-SEC.COM)所有文章仅供技术研究,若将其信息做其他用途,由用户承担全部法律及连带责任,本站不承担任何法律及连带责任,请遵守中华人民共和国安全法.
  • 我的微信
  • 微信扫一扫
  • weinxin
  • 我的微信公众号
  • 微信扫一扫
  • weinxin
admin
  • 本文由 发表于 2022年5月7日23:23:58
  • 转载请保留本文链接(CN-SEC中文网:感谢原作者辛苦付出):
                  Jira Seraph身份验证绕过漏洞风险提示(CVE-2022-0540) http://cn-sec.com/archives/985449.html

发表评论

匿名网友 填写信息

:?: :razz: :sad: :evil: :!: :smile: :oops: :grin: :eek: :shock: :???: :cool: :lol: :mad: :twisted: :roll: :wink: :idea: :arrow: :neutral: :cry: :mrgreen: