В Jira устранили критический баг обхода аутентификации (CVSS — 9,9)

В Jira устранили критический баг обхода аутентификации (CVSS — 9,9)

В Jira устранили критический баг обхода аутентификации (CVSS — 9,9)

Atlassian пропатчила критическую уязвимость в системе отслеживания ошибок Jira. Успешная эксплуатация этой бреши, получившей 9,9 балла по шкале CVSS, могла позволить злоумышленникам обойти аутентификацию.

Чтобы использовать баг в атаке, киберпреступник должен отправить уязвимому софту специально созданный HTTP-запрос. Проблема затрагивает Jira Server и Data Center версий до 8.13.18, а также релизы с 8.14.0 (до 8.20.6) и 8.21.0 (до 8.22.0). Помимо этого, дыра актуальна для Jira Service Management Server и Data Center версий до 4.13.18, с 4.14.0 до 4.20.6 и с 4.21.0 до 4.22.0.

Компания Atlassian опубликовала уведомление, в котором специалисты предупреждают о возможности обхода аутентификации во фреймворке аутентификации Jira Seraph.

«Несмотря на то что уязвимость присутствует в ядре Jira, она затрагивает и сторонние приложения. Удалённый злоумышленник, не прошедший аутентификацию, может отправить специально созданный HTTP-запрос и обойти процесс проверки личности».

Для тех, кто по каким-то причинам не может установить обновления и при этом использует уязвимые приложения, Atlassian опубликовала альтернативный способ защиты от эксплуатации бага. Потребуется обновить эти приложения до безопасных версий.

Если же и софт нельзя пропатчить, тогда стоит отключить приложение, чтобы не стать жертвой киберпреступников. На проблему в безопасности указал исследователь из компании Viettel Cyber Security.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Региональным органам власти рекомендовали активнее переходить на MAX

Мессенджер MAX рекомендовано активнее внедрять в работу региональных органов власти. По данным источников, не исключено, что в перспективе уровень использования MAX может стать одним из критериев оценки эффективности деятельности губернаторов наравне с другими ключевыми показателями.

Об активизации усилий по продвижению MAX в субъектах РФ сообщили восемь источников газеты «Ведомости».

Платформу начинают использовать главы регионов, члены правительств субъектов, руководители избиркомов, сенаторы, депутаты Госдумы, а также высокопоставленные муниципальные чиновники и мэры крупных городов. В ряде регионов установлен срок перехода на MAX: где-то — до 1 августа, где-то — до 1 сентября.

По данным источников, регионы часто действуют инициативно. Некоторые из них уже обратились к VK с просьбой подключить экспериментальные функции мессенджера, включая каналы, официальный запуск которых запланирован на осень. Сейчас они доступны ограниченному кругу пользователей — крупным СМИ и отдельным публичным персонам.

Развитие MAX, по информации собеседников издания, обсуждалось на совещании с участием представителей администрации президента и правительства. Курировать внедрение будут не только администрации, но и профильные ведомства. Пока никаких целевых показателей не установлено, однако не исключено, что количество пользователей MAX в регионе впоследствии включат в систему KPI для губернаторов.

О переходе на MAX уже объявили власти Санкт-Петербурга, республик Коми и Марий Эл, Ханты-Мансийского автономного округа, а также Кемеровской области. Там планируют перевести рабочие чаты в мессенджер до конца июля. Мэры Краснодара и Новосибирска распорядились перенести всю служебную переписку в MAX.

По мнению опрошенных экспертов, переход госструктур и банков на отечественные ИТ-продукты — ожидаемый шаг. С 1 июня в России действует закон, запрещающий использование иностранных мессенджеров для общения представителей этих организаций с гражданами. Мера направлена на защиту от телефонных мошенников, часто прикрывающихся именами официальных структур — от банков и сотовых операторов до служб ЖКХ.

MAX позиционируется не только как мессенджер, но и как универсальная цифровая платформа. В неё планируется интеграция государственных и муниципальных сервисов, включая Госуслуги и функции электронной подписи. В шести регионах уже запущен пилотный проект по использованию MAX в учебном процессе. В Москве отдельные школы начали требовать от родителей и учеников установки приложения в сжатые сроки.

В то же время у MAX выявлен ряд проблем. В частности, речь идёт о несанкционированной передаче данных за границу, сборе информации о пользователях и устройствах, а также использовании компонентов, произведённых в недружественных странах.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru