BDU:2022-02565

Опубликовано: 20 апр. 2022

Источник: fstec

CVSS3: 10

CVSS2: 9.7

EPSS Критический

Описание

Уязвимость платформы веб-аутентификации Jira Seraph систем отслеживания ошибок и инцидентов Jira и Jira Service Managment связана с недостатками процедуры аутентификации. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, повысить свои привилегии с помощью с помощью специально сформированных HTTP-запросов

Вендор

Atlassian

Наименование ПО

Jira

Jira Service Management

Версия ПО

от 8.13.0 до 8.13.18 (Jira)

от 8.20.0 до 8.20.6 (Jira)

до 8.22.0 (Jira)

от 4.13.0 до 4.13.18 (Jira Service Management)

от 4.20.0 до 4.20.6 (Jira Service Management)

до 4.22.0 (Jira Service Management)

Тип ПО

Прикладное ПО информационных систем

Операционные системы и аппаратные платформы

Уровень опасности уязвимости

Высокий уровень опасности (базовая оценка CVSS 2.0 составляет 9,7)

Критический уровень опасности (базовая оценка CVSS 3.0 составляет 10)

Возможные меры по устранению уязвимости

Установка обновлений из доверенных источников.

В связи со сложившейся обстановкой и введенными санкциями против Российской Федерации рекомендуется устанавливать обновления программного обеспечения только после оценки всех сопутствующих рисков.

Компенсирующие меры:

- отключение Insight - Asset Management.

Использование рекомендаций производителя:

https://confluence.atlassian.com/jira/jira-security-advisory-2022-04-20-1115127899.html

https://jira.atlassian.com/browse/JRASERVER-73650

https://jira.atlassian.com/browse/JSDSERVER-11224

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Данные уточняются

Информация об устранении

Уязвимость устранена

Ссылки на источники

Идентификаторы других систем описаний уязвимостей

https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2022-0540
CVE

EPSS

Процентиль: 100%

0.92879

Критический

10 Critical

CVSS3

9.7 Critical

CVSS2

Связанные уязвимости

CVE-2022-0540

CVSS3: 9.8

nvd

около 3 лет назад

A vulnerability in Jira Seraph allows a remote, unauthenticated attacker to bypass authentication by sending a specially crafted HTTP request. This affects Atlassian Jira Server and Data Center versions before 8.13.18, versions 8.14.0 and later before 8.20.6, and versions 8.21.0 and later before 8.22.0. This also affects Atlassian Jira Service Management Server and Data Center versions before 4.13.18, versions 4.14.0 and later before 4.20.6, and versions 4.21.0 and later before 4.22.0.

GHSA-h5cm-vc68-69h9

github