Vulnerabilidades K2

Contacto

Viernes, 23 Agosto 2019 13:03

Detectada una vulnerabilidad crítica en Jira

El equipo de ciberinteligencia de Entelgy Innotec Security avisa de la publicación de una vulnerabilidad en Jira.

Nivel de criticidad: ALTO

  1. CVE-2019-11581. Se ha detectado una vulnerabilidad en Jira, software de seguimiento de proyectos e incidencias. El fallo reside en las acciones ContactAdministrators y SendBulkMail, las cuales son vulnerables a la inyección de código arbitrario de forma remota pudiendo permitir a un atacante escalar sus privilegios.

La vulnerabilidad ha recibido una puntuación de 9.3 según la escala CVSSv2 de la base de datos del NIST. Esto es debido a que el fallo es explotable de forma remota, con una complejidad media, no es requerida autenticación alguna y un ataque exitoso supondría un impacto completo. Hasta el momento no se han detectado exploits que permitan a los atacantes aprovechar esta vulnerabilidad  ni actividad en la red relacionada. 

Recursos afectados:

Según el aviso publicado por el fabricante, se ven afectadas todas las versiones de Jira Server y Data Center:

  • Desde 4.4.0 hasta 7.6.14
  • Desde 7.7.0 hasta 7.13.5
  • Desde 8.0.0 hasta 8.0.3
  • Desde 8.1.0 hasta 8.1.2 
  • Desde 8.2.0 hasta 8.2.3

Solución a la vulnerabilidad:

El fabricante ha solucionado la vulnerabilidad a través de las actualizaciones disponibles en los siguientes enlaces:

Recomendaciones:

El CERT de Entelgy Innotec Security recomienda encarecidamente a los usuarios y administradores de sistemas que apliquen los parches de seguridad en cuanto se encuentren disponibles, con el fin de evitar la exposición a ataques externos y la toma de control de los sistemas informáticos.

En caso de no poder aplicar las actualizaciones disponible para solucionar la vulnerabilidad, se recomienda:

  • Deshabilitar el formulario Administradores de contactos y bloquear la función /secure/ContactAdministrators, y
  • Bloquear el acceso a las siguientes funciones:
    • /secure/admin/SendBulkMail!default.jspa
    • /admin/SendBulkMail!default.jspa
    • /SendBulkMail!default.jspa

Hay que tener en cuenta que bloquear la función SendBulkMail evitará que los administradores de Jira puedan enviar correos electrónicos masivos a los usuarios.

Asimismo, el bloqueo de funciones puede lograrse negando el acceso en el proxy inverso o al balanceo de carga de procesos.

Después de actualizar Jira, es posible habilitar nuevamente el Formulario de contacto del administrador y desbloquear la función SendBulkMail.

Referencias:

Comparte

S5 Box