胡鑫宇案:适用 “ 他杀推定 ” 原则 !

胡鑫宇事件新闻发布会:那只高举的手

陈志武:中国政府规模多大?

母子乱伦:和儿子做了,我该怎么办?

去泰国看了一场“成人秀”,画面尴尬到让人窒息.....

生成图片,分享到微信朋友圈

自由微信安卓APP发布,立即下载! | 提交文章网址
查看原文

企业软件开发商 Atlassian 紧急修复不慎泄露的0day,IBM Aspera 软件或受影响

Thomas Claburn 代码卫士 2022-04-06
 聚焦源代码安全,网罗国内外最新资讯!
编译:奇安信代码卫士团队
上周二,推特安全网红账户 SwiftOnSecurity 不慎披露了影响企业软件厂商 Atlassian 的一个0day 漏洞,它或影响 IBM Aspera 软件。
该账户披露称,Atlassian提供的一个域名解析到一个具有 Confluence 云服务常用 SSL 证书的本地服务器,以启用 Atlassian Companion app 在所选的当地应用程序中编辑文件并将文件保存回 Confluence。
Confluence 使用非常难控制的域名 https://atlassian-domain-for-localhost-connections-only.com通过浏览器连接到自己的 companion app。问题在于,任何人只要具备足够的技术知识就能复制该 SSL 密钥并借此发动中间人攻击,从而导致攻击者将 app 流量重定向至恶意站点。
谷歌安全工程师Tavis Ormandy 证实称使用该app 的任何人均易受此类攻击的影响。他解释称,“你可以顺走该私钥,没有什么可以阻止你将此域名解析为 localhost 以外的其它内容。因此无法保证你是和可信的本地服务还是和攻击者通信。
SwiftOnSecurity 将问题告知 Atlassian 并获得CVE编号 CVE-2019-15006。
Atlassian 回应称已注意到该问题并且正在着手解决,“我们已经请求撤销该证书,而且目前正在评估是否需要其它技术解决方案来保护客户的安全。
StackApps 的版主 Tim Stone 在讨论中表示,IBM 的 Aspera 插件客户端使用了类似的服务器方案 local.connectme.us 进行客户端-服务器通信。Ormandy表示这导致问题更加糟糕,“已经存在一个预先生成的 CA 证书以及一个私钥,如果他们将其增加到系统存储中,那么就可以禁用 SSL。我认为该问题属于‘严重’级别”。Stone 表示目前尚未有证据表明 IBM 确实将该证书加入系统存储中。尽管如此,Ormandy 认为 local.connectme.us 中的证书问题是真实存在的而且认为应该撤销该证书。
一名IBM发言人回应称,已经在6月份就发布安全公告,提请注意影响 Aspera Connect 3.7和3.8的拒绝服务漏洞,“在客户继续升级环境的同时,我们保留了 local.connectme.us 以便向后兼容。
另外,local.connectme.us的证书据悉已被撤销。



推荐阅读

刚刚修复的Windows 0day和Chrome 0day 已被组合用于 WizardOpium 攻击(详解)



原文链接

https://www.theregister.co.uk/2019/12/05/atlassian_zero_day_bug/



题图:Pixabay License



本文由奇安信代码卫士编译,不代表奇安信观点,转载请注明“转自奇安信代码卫士 www.codesafe.cn”



奇安信代码卫士 (codesafe)

国内首个专注于软件开发安全的产品线。



文章有问题?点此查看未经处理的缓存