В Jira устранили критический баг обхода аутентификации (CVSS — 9,9)

В Jira устранили критический баг обхода аутентификации (CVSS — 9,9)

В Jira устранили критический баг обхода аутентификации (CVSS — 9,9)

Atlassian пропатчила критическую уязвимость в системе отслеживания ошибок Jira. Успешная эксплуатация этой бреши, получившей 9,9 балла по шкале CVSS, могла позволить злоумышленникам обойти аутентификацию.

Чтобы использовать баг в атаке, киберпреступник должен отправить уязвимому софту специально созданный HTTP-запрос. Проблема затрагивает Jira Server и Data Center версий до 8.13.18, а также релизы с 8.14.0 (до 8.20.6) и 8.21.0 (до 8.22.0). Помимо этого, дыра актуальна для Jira Service Management Server и Data Center версий до 4.13.18, с 4.14.0 до 4.20.6 и с 4.21.0 до 4.22.0.

Компания Atlassian опубликовала уведомление, в котором специалисты предупреждают о возможности обхода аутентификации во фреймворке аутентификации Jira Seraph.

«Несмотря на то что уязвимость присутствует в ядре Jira, она затрагивает и сторонние приложения. Удалённый злоумышленник, не прошедший аутентификацию, может отправить специально созданный HTTP-запрос и обойти процесс проверки личности».

Для тех, кто по каким-то причинам не может установить обновления и при этом использует уязвимые приложения, Atlassian опубликовала альтернативный способ защиты от эксплуатации бага. Потребуется обновить эти приложения до безопасных версий.

Если же и софт нельзя пропатчить, тогда стоит отключить приложение, чтобы не стать жертвой киберпреступников. На проблему в безопасности указал исследователь из компании Viettel Cyber Security.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

У Почты России наблюдаются сбои в работе сайта и онлайн-сервисов

Сегодня пользователи из разных регионов России сообщили о сбоях в работе сайта «Почты России». Как отмечают пользователи, сайт не открывается ни в десктопной, ни в мобильной версии. Также наблюдаются проблемы с авторизацией и доступом к сервису отслеживания отправлений.

Согласно данным Downdetector, массовые жалобы начали поступать около 17:00 по московскому времени. Пользователи сообщали либо о невозможности загрузить сайт, либо о сбоях в работе его отдельных функций.

Наибольшее количество обращений поступило от жителей Москвы, Санкт-Петербурга, а также регионов Северо-Запада, включая Калининградскую и Ленинградскую области и Карелию.

В то же время, как отмечает издание MSK1.RU, мобильное приложение «Почты России» продолжало работать. По данным издания, примерно в 17:45 сайт начал снова открываться.

«Отставить панику! Сайт, мобильное приложение — всё надёжно, безопасно, под контролем», — заявили в официальном телеграм-канале «Почты России». Причины сбоев компания раскрывать не стала.

Между тем 28 июля возникли серьёзные проблемы в ИТ-инфраструктуре аптечной сети «Столички». Сначала перестали работать онлайн-сервисы, а 29 июля сбой затронул кассовую и учётную системы, в результате чего часть аптек в Москве была закрыта.

Тем же днём стало известно о кибератаке на «Аэрофлот». Ответственность за неё взяла на себя группировка Silent Crow. По оценке, только за 28 июля прямые убытки компании составили более 250 млн рублей.

 

Напомним, в этом месяце мы писали, что «Почта России» станет тестовой площадкой для практик киберустойчивости.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru