В Jira устранили критический баг обхода аутентификации (CVSS — 9,9)

В Jira устранили критический баг обхода аутентификации (CVSS — 9,9)

Atlassian пропатчила критическую уязвимость в системе отслеживания ошибок Jira. Успешная эксплуатация этой бреши, получившей 9,9 балла по шкале CVSS, могла позволить злоумышленникам обойти аутентификацию.

Чтобы использовать баг в атаке, киберпреступник должен отправить уязвимому софту специально созданный HTTP-запрос. Проблема затрагивает Jira Server и Data Center версий до 8.13.18, а также релизы с 8.14.0 (до 8.20.6) и 8.21.0 (до 8.22.0). Помимо этого, дыра актуальна для Jira Service Management Server и Data Center версий до 4.13.18, с 4.14.0 до 4.20.6 и с 4.21.0 до 4.22.0.

Компания Atlassian опубликовала уведомление, в котором специалисты предупреждают о возможности обхода аутентификации во фреймворке аутентификации Jira Seraph.

«Несмотря на то что уязвимость присутствует в ядре Jira, она затрагивает и сторонние приложения. Удалённый злоумышленник, не прошедший аутентификацию, может отправить специально созданный HTTP-запрос и обойти процесс проверки личности».

Для тех, кто по каким-то причинам не может установить обновления и при этом использует уязвимые приложения, Atlassian опубликовала альтернативный способ защиты от эксплуатации бага. Потребуется обновить эти приложения до безопасных версий.

Если же и софт нельзя пропатчить, тогда стоит отключить приложение, чтобы не стать жертвой киберпреступников. На проблему в безопасности указал исследователь из компании Viettel Cyber Security.

Anti-Malware Яндекс ДзенПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

Мошенники сулят ветеранам ВОВ ко Дню Победы до 300 тыс. рублей

В рунете заработала новая партнерская программа, нацеленная на сбор персональных данных и отъем денежных средств путем обмана. Специально созданные сайты имитируют портал Роскачества и используют тему традиционных выплат ветеранам ВОВ ко Дню Победы.

Способы привлечения посетителей на мошеннические ресурсы разнообразны. По данным F.A.C.C.T., за последнюю неделю фальшивки усилиями участников партнерки собрали около 1500 визитов.

 

Чтобы получить обещанную «выплату», посетитель вначале должен ввести личные данные, якобы для проверки. Сроки, как всегда в случае мошенничества, ограничены — обычно 1-2 дня, и они регулярно сдвигаются.

 

После слива персональных данных визитеру предлагают оплатить ту или иную услугу посредника. Как оказалось, «прейскурант» организаторы партнерки прописали в коде мошеннических ресурсов. В итоге платежные реквизиты тоже попадают к аферистам.

 

«Чтобы усыпить бдительность потенциальных жертв злоумышленники используют название АНО «Роскачество» и вместе с ним громкие названия, к примеру, «Международный компенсационный центр», «официальный сайт уполномоченного подразделения по финансовой защите граждан», — комментирует Евгений Егоров, ведущий аналитик департамента Digital Risk Protection компании F.A.C.C.T. — Ближе к Дню Победу таких ресурсов может быть больше, а злоумышленники будут активнее продвигать ссылки на них».

Anti-Malware Яндекс ДзенПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru