Jira 服务管理中存在严重漏洞
编译：代码卫士
Atlassian 公司表示，“Jira 服务管理器和数据中心中存在一个认证漏洞，可导致攻击者模拟其他用户，并在一定条件下获得对Jira 服务管理实例的访问权限。拥有对Jira 服务管理实例上所启用的用户目录和外发电子邮件上的写权限，可导致攻击者访问发送给用户的注册令牌，而这些用户从未登录过这些账户。”
Atlassian 提到，这些令牌可通过如下任一场景获取：
攻击者包含在Jira issue中或者向这些用户提出请求，或者
攻击者被用户转发或从这些用户处访问包含“查看请求”链接的邮件
该公司还提到，虽然通过只读用户目录或单点登录被同步到Jira服务的用户并不受影响，但通过邮件和实例进行交互的外部客户受影响，且在配置单点登录的情况下也不例外。
Atlassian 公司表示，该漏洞在5.3.0中引入且影响所有后续版本5.3.1、5.3.2、5.4.0、5.4.1和5.5.0。修复访问已在版本5.3.3、5.4.2、5.5.1和5.6.0或后续版本中可用。
该公司强调称，通过atlassian[.]net域名托管在云上的Jira网站并不受影响，用户无需采取任何措施。两个多月前，该公司曾披露了位于Bitbucket 服务器、数据中心和Crowd产品中的两个严重漏洞（CVE-2022-43781和CVE-2022-43782），可被用于执行代码以及调用提权的API端点。近几个月来，Atlassian产品中的漏洞已成为引人注目的攻击向量，因此用户应更新至最新版本，缓解潜在威胁。
Jira Align 存在两个高危漏洞，可用于获取超级管理员权限
https://thehackernews.com/2023/02/atlassians-jira-software-found.html
题图：Pixabay License
本文由奇安信编译，不代表奇安信观点。转载请注明“转自奇安信代码卫士 https://codesafe.qianxin.com”。
奇安信代码卫士 (codesafe)
国内首个专注于软件开发安全的产品线。