Zwei Sicherheitslücken in allen Atlassian Server / DC Produkten CVE 2022-26136 / CVE 2022-26137

Willkürliche Umgehung von Servlet-Filtern (CVE-2022-26136)

Eine Sicherheitslücke in mehreren Atlassian-Produkten ermöglicht es einem entfernten, nicht authentifizierten Angreifer, Servlet-Filter zu umgehen, die von Erst- und Drittanbieteranwendungen verwendet werden.

Die Auswirkungen hängen davon ab, welche Filter von der jeweiligen Anwendung verwendet werden und wie die Filter eingesetzt werden.

Atlassian hat Updates veröffentlicht, die die Ursache dieser Schwachstelle beheben, hat aber nicht alle möglichen Folgen dieser Schwachstelle aufgezählt. Es wurden nur die folgenden Angriffe bestätigt:

Umgehung der Authentifizierung:

Durch das Senden einer speziell gestalteten HTTP-Anfrage können benutzerdefinierte Servlet-Filter umgangen werden, die von Anwendungen von Drittanbietern verwendet werden, um die Authentifizierung zu erzwingen.

Ein nicht authentifizierter Angreifer kann dies auch remote ausnutzen, um die von Drittanbieteranwendungen verwendete Authentifizierung zu umgehen.

Atlassian hat bestätigt, dass dieser Angriff möglich ist, hat aber noch keine Liste aller betroffenen Anwendungen erstellt.

Cross-Site-Scripting (XSS):

Das Senden einer speziell gestalteten HTTP-Anfrage kann den Servlet-Filter umgehen, der zur Validierung legitimer Atlassian Gadgets verwendet wird, was zu Cross-Site-Scripting (XSS) führen kann.

Ein Angreifer, der einen Benutzer dazu bringen kann, eine bösartige URL anzuklicken, kann beliebiges Javascript im Browser des Benutzers ausführen.

Zusätzlicher Servlet-Filter-Aufruf (CVE-2022-26137)

Eine Sicherheitslücke in mehreren Atlassian-Produkten ermöglicht es einem nicht authentifizierten Angreifer, den Aufruf zusätzlicher Servlet-Filter zu veranlassen, wenn die Anwendung Anfragen oder Antworten verarbeitet.

Atlassian hat das einzige bekannte Sicherheitsproblem im Zusammenhang mit dieser Sicherheitslücke bestätigt und behoben:

Umgehung des Cross-Origin Resource Sharing (CORS):

Das Senden einer speziell gestalteten HTTP-Anfrage kann den Servlet-Filter aufrufen, der zur Beantwortung von CORS-Anfragen verwendet wird, was zu einer CORS-Umgehung führt.

Ein Angreifer, der einen Benutzer dazu bringen kann, eine bösartige URL anzuklicken, kann mit den Rechten des Opfers auf die anfälligen Anwendung zugreifen.

Zu Servlet-Filtern:

Ein Servlet-Filter ist Java-Code, der HTTP-Anfragen abfängt und verarbeitet, bevor eine Client-Anfrage an eine Backend-Ressource gesendet wird.

Sie werden auch verwendet, um HTTP-Antworten von einer Backend-Ressource abzufangen und zu verarbeiten, bevor sie an einen Client gesendet werden.

Einige Servlet-Filter bieten Sicherheitsmechanismen wie Protokollierung, Auditing, Authentifizierung oder Autorisierung.

Schweregrad

Atlassian stuft den Schweregrad dieser Schwachstelle als kritisch ein.

Dies ist Atlassians Einschätzung, und Sie sollten deren Anwendbarkeit auf Ihre eigene IT-Umgebung prüfen.

Betroffene Versionen:

Produkt	Betroffene Versionen
Bamboo Server and Data Center	Versions < 8.0.9 8.1.x < 8.1.8 8.2.x < 8.2.4
Bitbucket Server and Data Center	Versions < 7.6.16 All versions 7.7.x through 7.16.x 7.17.x < 7.17.8 All versions 7.18.x 7.19.x < 7.19.5 7.20.x < 7.20.2 7.21.x < 7.21.2 8.0.0 8.1.0
Confluence Server and Data Center	Versions < 7.4.17 All versions 7.5.x through 7.12.x 7.13.x < 7.13.7 7.14.x < 7.14.3 7.15.x < 7.15.2 7.16.x < 7.16.4 7.17.x < 7.17.4 7.18.0
Crowd Server and Data Center	Versions < 4.3.8 4.4.x < 4.4.2 5.0.0
Crucible	Versions < 4.8.10
Fisheye	Versions < 4.8.10
Jira Server and Data Center	Versions < 8.13.22 All versions 8.14.x through 8.19.x 8.20.x < 8.20.10 All versions 8.21.x 8.22.x < 8.22.4
Jira Service Management Server and Data Center	Versions < 4.13.22 All versions 4.14.x through 4.19.x 4.20.x < 4.20.10 All versions 4.21.x 4.22.x < 4.22.4

Korrigierte Versionen:

Produkt	Korrigierte Versionen
Bamboo Server and Data Center	8.0.x >= 8.0.9 8.1.x >= 8.1.8 8.2.x >= 8.2.4 Versions >= 9.0.0
Bitbucket Server and Data Center	7.6.x >= 7.6.16 (LTS) 7.17.x >= 7.17.8 (LTS) 7.19.x >= 7.19.5 7.20.x >= 7.20.2 7.21.x >= 7.21.2 (LTS) 8.0.x >= 8.0.1 8.1.x >= 8.1.1 Versions >= 8.2.0
Confluence Server and Data Center	7.4.x >= 7.4.17 (LTS) 7.13.x >= 7.13.7 (LTS) 7.14.x >= 7.14.3 7.15.x >= 7.15.2 7.16.x >= 7.16.4 7.17.x >= 7.17.4 7.18.x >= 7.18.1 Versions >= 7.19.0
Crowd Server and Data Center	4.3.x >= 4.3.8 4.4.x >= 4.4.2 Versions >= 5.0.1
Crucible	Versions >= 4.8.10
Fisheye	Versions >= 4.8.10
Jira Server and Data Center	8.13.x >= 8.13.22 (LTS) 8.20.x >= 8.20.10 (LTS) 8.22.x >= 8.22.4 Note: 8.22.4 contains a high impact non-security bug. Atlassian recommends updating to 8.22.6 or later. Versions >= 9.0.0
Jira Service Management Server and Data Center	4.13.x >= 4.13.22 (LTS) 4.20.x >= 4.20.10 (LTS) 4.22.x >= 4.22.4 Note: 4.22.5 contains a security vulnerability. Atlassian recommends updating to 4.22.6 or later. Versions >= 5.0.0

Haben Sie Fragen zu diesem Blog-Beitrag? Dürfen wir Sie unterstützen? Schreiben Sie uns auf hallo@zuara.ch oder rufen Sie uns an: 031 302 60 00.