В ПО Jira Server и Service Desk исправлены опасные уязвимости

Компания Atlassian выпустила обновления для программного обеспечения Jira Service Desk и Jira Service Desk Data Center, исправляющее опасные уязвимости. Они могут быть проэксплуатированы для раскрытия информации или удаленного выполнения кода.

Одна из проблем ( CVE-2019-14994 ) затрагивает ПО Jira Service Desk и Jira Service Desk Data Center и представляет собой опасную уязвимость типа path traversal (некорректные ограничения путей для каталогов, подмена пути). По словам исследователя безопасности Сэма Карри (Sam Curry), ограничения способен обойти любой пользователь с доступом к порталу, как клиент, так и сотрудник. Эксплуатация позволяет злоумышленнику просматривать все запросы во всех проектах Jira, содержащихся в уязвимых установках, включая Jira Service Desk, Jira Core и Jira Software.

Поисковые запросы выявили 25 тыс. организаций по всему миру в сфере здравоохранения, государственного управления, образования и промышленности, которые используют данный web-портал.

Уязвимости затрагивают версии продуктов Jira Service Desk и Jira Service Desk Data Center 3.9.16 и младше, с 3.10.0 по 3.16.8, с 4.0.0 по 4.1.3, с 4.2.0 по 4.2.5, с 4.3.0 по 4.3. 4, и 4.4.0. Проблема CVE-2019-14994 была исправлена в версиях 3.9.16, 3.16.8, 4.1.3, 4.2.5, 4.3.4 и 4.4.1.

В отдельном предупреждении Atlassian сообщила об уязвимости ( CVE-2019-15001 ) типа template injection (внедрение шаблона) в плагине Importer. Она может быть проэксплуатирована злоумышленником с доступом к группе JIRA Administrators и позволяет удаленно выполнять код на системах с ​​уязвимой версией Jira Server или Data Center.

Уязвимость затрагивает версии Jira Server и Jira Data Center с 7.0.10 до 7.6.16 (исправлено в 7.6.16), с 7.7.0 до 7.13.8 (исправлено в 7.13.8), от 8.0.0 до 8.1.3 (исправлено в 8.1.3), с 8.2.0 до 8.2.5 (исправлено в 8.2.5), с 8.3.0 до 8.3.4 (исправлено в 8.3.4), с 8.4.0 до 8.4.1 (исправлено в 8.4.1).

Jira Service Desk — программное обеспечение службы поддержки, которое позволяет клиентам просматривать проблемы и отправлять запросы при ограниченном доступе к экземплярам Jira. Jira Service Desk Data Center — опция развертывания, обеспечивающая высокую доступность и производительность критически важных приложений Atlassian.