VULNERABILIDAD CRITICA EN JIRA SERVICE MANAGEMENT SERVER

03/02/2023

BOLETÍN NRO 2023-075

Atlassian ha publicado correcciones para una vulnerabilidad crítica en Jira Service Management Server y Data Center. La vulnerabilidad permite a un atacante hacerse pasar por otro usuario y obtener acceso no autorizado a la instancia de Jira Service Management en determinadas circunstancias.

Servicios Afectados

•  Versiones 5.3.0, 5.4.0, 5.3.2, 5.3.1, 5.4.1, 5.5.0

Detalles Tecnicos

CVE: CVE-2023-22501                                    Severidad:   CRÍTICA

La falla se puede explotar si el atacante tiene acceso a los problemas o solicitudes de Jira con otros usuarios, o si el atacante es reenviado u obtiene acceso a correos electrónicos que contienen un enlace "Ver solicitud". Atlassian recomienda actualizar las instalaciones a las últimas versiones para mitigar la amenaza.

Además, la compañía dijo que los usuarios que están sincronizados con el servicio de Jira a través de directorios de usuarios de solo lectura o inicio de sesión único (SSO) no se ven afectados, pero los clientes externos que interactúan con la instancia por correo electrónico sí se ven afectados. La vulnerabilidad se introdujo en la versión 5.3.0 y afecta a todas las versiones posteriores, pero las correcciones están disponibles en las versiones 5.3.3, 5.3.3, 5.5.1 y 5.6.0 o posteriores.

Es importante destacar que los sitios de Jira alojados en la nube a través de un dominio atlassian[.]net no están afectados por la vulnerabilidad y no se requiere ninguna acción. La divulgación de la falla llega más de dos meses después de que la compañía cerrara dos brechas de seguridad críticas en Bitbucket Server, Data Center y Crowd Products. Por lo tanto, es crucial que los usuarios actualicen sus instalaciones para protegerse contra posibles amenazas.

Recomendaciones

Se recomienda a nuestros clientes que cuenten con los servicios que puedan verse afectados, seguir las siguientes acciones preventivas para reducir riesgos:

Para el personal de seguridad de información:

• Mantener un protocolo estricto para realizar copias de seguridad de los activos de información de mayor criticidad.

• Mantener un protocolo de actualizaciones estricto de sistemas operativos, antivirus y todas las aplicaciones que se ejecutan en ellos.

• Concientizar constantemente a los usuarios en temas relacionados a seguridad informática.

• Mantener el conocimiento situacional de las últimas amenazas y zonas vulnerables de la organización.

• Se debe aplicar las actualizaciones correspondientes de acuerdo con el siguiente enlace.

** Al aplicar actualizaciones es importante que previamente en ambiente de desarrollo se valide y confirme a nivel de servicios, con el propósito de aplicar los cambios de manera controlada.

Para usuarios finales:

• No abrir correos electrónicos de dudosa procedencia (remitente desconocido), ni dar clic en enlaces, ni descargar archivos adjuntos desconocidos.

• Escanear todo el software descargado de Internet antes de la ejecución.

• De detectar cualquier actividad anómala en su equipo reportarlo inmediatamente a los encargados de seguridad de la información de su institución.

Fuente

• Fuente 1: Atlassian's Jira Software Found Vulnerable to Critical Authentication Vulnerability
• Fuente 2: Equipo de Anti-Fraude y Dark Web Intelligence SecureSoft

Contáctanos

Si usted tiene alguna consulta no dude en contactarse con nosotros: 

Perú:
Consultas técnicas: monitoreo_pe@securesoftcorp.com 
Consultas comerciales: ventas@securesoftcorp.com

Ecuador:
Consultas técnicas: monitoreo_ec@securesoftcorp.com
Consultas comerciales: ventas_ec@securesoftcorp.com

Colombia:
Consultas técnicas: monitoreo_co@securesoftcorp.com
Consultas comerciales: ventas_co@securesoftcorp.com

Chile:
Consultas técnicas: monitoreo_cl@securesoftcorp.com
Consultas comerciales: ventas_cl@securesoftcorp.com

​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​