CVE-2023-22501
Açıklama
Jira Service Management Server ve Data Center'da, bir saldırganın belirli koşullar altında başka bir kullanıcıyı taklit etmesine ve bir Jira Service Management örneğine erişim sağlamasına olanak tanıyan bir kimlik doğrulama zafiyeti keşfedildi. Bir Kullanıcı Dizinine yazma erişimi ve bir Jira Service Management örneğinde giden e-postaların etkin olması durumunda, bir saldırgan daha önce hiç giriş yapılmamış hesaplara sahip kullanıcılara gönderilen kayıt jetonlarına (signup tokens) erişebilir. Bu jetonlara erişim iki durumda elde edilebilir: * Saldırgan, bu kullanıcıların dahil olduğu Jira sorunlarında veya taleplerinde yer alıyorsa veya * Saldırgana, bu kullanıcılardan gelen ve "Talebi Görüntüle" bağlantısı içeren e-postalar iletildiyse veya saldırgan bu e-postalara başka bir şekilde erişim sağladıysa. Bot hesapları bu senaryoya karşı özellikle hassastır. Tekli oturum açma (single sign-on) kullanılan örneklerde, herkesin kendi hesabını oluşturabildiği projelerde harici müşteri hesapları etkilenebilir.
Nasıl düzeltilir
- atlassian jira_service_management5.3.3, 5.4.2 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| atlassian jira_service_management | 5.3.0 ≤ v < 5.3.3, 5.4.0 ≤ v < 5.4.2, 5.5.0 | 5.3.3, 5.4.2 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.