В Jira пропатчили критическую уязвимость аутентификации

В Jira пропатчили критическую уязвимость аутентификации

В Jira пропатчили критическую уязвимость аутентификации

Atlassian выпустила патчи, устраняющие критическую уязвимость в программных продуктах Jira Service Management Server и Data Center. Атакующие могут использовать эту брешь для получения несанкционированного доступа к затронутым установкам.

Сама уязвимость получила идентификатор CVE-2023-22501 и 9,4 балла по шкале CVSS. Согласно описанию, проблема представляет собой некорректную работу механизма аутентификации. Эксплуатация бреши не требует от злоумышленника высокой квалификации.

«В Jira Service Management Server и Data Center обнаружилась проблема аутентификации, позволяющая атакующему выдать себя за другого пользователя и получить доступ к установке Jira Service Management», — гласит уведомление Atlassian.

«С возможностью записи в директорию пользователя и включённой исходящей почтой в Jira Service Management злоумышленник может добраться до токенов регистрации».

В компании уточнили, что уязвимость не угрожает тем, кто синхронизирован с сервисами Jira через пользовательские директории в режиме read-only, или же тем, кто использует SSO. Баг впервые появился в версии 5.3.0 и затрагивает 5.3.1, 5.3.2, 5.4.0, 5.4.1 и 5.5.0. Патчи доступны с релизами под номерами 5.3.3, 5.3.3, 5.5.1 и 5.6.0.

ИИ в банковском антифроде пока проигрывает старым добрым правилам

Банки активно обсуждают искусственный интеллект, но ловить мошенников по-прежнему предпочитают проверенными методами. Только 13% российских банков используют машинное обучение как основной механизм антифрода, и ни один из них полностью не доволен результатом.

Такие данные получили «Инфосистемы Джет» после опроса руководителей антифрод-подразделений более чем 30 банков.

Главные претензии к ИИ: непрозрачные решения, высокие требования к данным и дорогая эксплуатация. Модель объявляет операцию подозрительной, а специалисту потом приходится гадать, что именно ей не понравилось.

У классических механизмов дела бодрее. Системами на основе правил довольны 87% участников, а многофакторными моделями оценки риска — все опрошенные. Правда, последние внедрили только 40% банков, поскольку для настройки требуется серьёзная внутренняя экспертиза.

И вот с ней как раз беда. У 70% банков нет собственных ресурсов для самостоятельной настройки антифрод-систем. Более половины организаций не смогли выполнить новые требования регуляторов без масштабной помощи вендора, а 73% считают встроенную аналитику своих платформ ограниченной.

Базовую защиту дистанционных каналов банки почти закрыли: интернет-банк и мобильные приложения охвачены средствами антифрода практически на 100%. Зато отделения и кредитные продукты остались на периферии, уровень покрытия там не превышает 40%.

Недостающую аналитику банки собирают сами: 80% создают собственные хранилища данных, а 40% внедряют инструменты поиска связей между клиентами, счетами и операциями.

По прогнозу «Инфосистем Джет», в ближайшие два-три года рынок будет соревноваться уже не в скорости, а в гибкости настройки. Победит тот, кто наконец отдаст управление антифродом самим аналитикам, а не заставит их каждый раз звать вендора. Результаты исследования.

RSS: Новости на портале Anti-Malware.ru