Inicio / Content / Boletín de INCIBE-CERT del 22-04-2022

Boletín de INCIBE-CERT del 22-04-2022

Vulnerabilidad de omisión de autenticación en productos Atlassian

Fecha de publicación: 
22/04/2022
Importancia: 
5 - Crítica
Recursos afectados: 
  • Jira Core Server, Jira Software Server y Jira Software Data Center, versiones:
    • anteriores a 8.13.18;
    • 8.14.x;
    • 8.15.x;
    • 8.16.x;
    • 8.17.x;
    • 8.18.x;
    • 8.19.x;
    • 8.20.x anteriores a 8.20.6;
    • 8.21.x.
  • Jira Service Management Server y Jira Service Management Data Center, versiones:
    • anteriores a 4.13.18;
    • 4.14.x;
    • 4.15.x;
    • 4.16.x;
    • 4.17.x;
    • 4.18.x;
    • 4.19.x;
    • 4.20.x anteriores a 4.20.6;
    • 4.21.x.

Asimismo, en el apartado List of affected Atlassian Marketplace Apps se proporciona un listado de las aplicaciones del marketplace de Atlassian afectadas por esta vulnerabilidad.

Descripción: 

Khoadha, de Viettel Cyber Security, ha notificado al fabricante una vulnerabilidad de severidad crítica. Un atacante remoto no autenticado podría enviar una petición HTTP, especialmente diseñada para saltarse los requisitos de autenticación y autorización en las acciones de WebWork, mediante el uso de una configuración afectada.

Solución: 
  • Actualizar Jira Core Server, Jira Software Server y Jira Software Data Center desde las páginas de descarga de Jira Core o Jira Software a las versiones:
    • 8.13.18 o superiores en la rama 8.13.x;
    • 8.20.6 o superiores en la rama 8.20.x;
    • 8.22.0 o superiores.
  • Actualizar Jira Service Management Server y Jira Service Management Data Center desde la página de descarga de Jira Service Management a las versiones:
    • 4.13.18 o superiores en la rama 4.13.x;
    • 4.20.6 o superiores en la rama 4.20.x;
    • 4.22.0 o superiores.
Detalle: 

Aunque la vulnerabilidad está en el core de Jira afecta a las aplicaciones de primera y tercera parte que especifican roles-required en el nivel de namespace de la acción webwork1 y no los especifican en el nivel de action. Para que una acción específica se vea afectada no tendrá que realizar ninguna otra comprobación de autenticación o autorización. Se ha asignado el identificador CVE-2022-0540 para esta vulnerabilidad.

Encuesta valoración