Kritische Sicherheitslücken betreffen nahezu alle Atlassian-Anwendungen – Updates dringend erforderlich
von Tina Siering
Die Meldungen über kritische Sicherheitslücken bei Atlassian-Produkten reißen nicht ab. Derzeit warnt das australische Softwareunternehmen gleich vor drei gravierenden Schwachstellen in zahlreichen seiner Anwendungen und Dienste.
Angreifer können die aktuellen Schwachstellen CVE-2022-26136 und CVE-2022-26137 ausnutzen, um die bei Drittanbietern-Anwendungen verwendete Authentifizierung zu umgehen, beliebigen JavaScript-Code auszuführen und den Browser-Mechanismus CORS (Cross-Origin Resource Sharing) durch eine speziell gestaltete HTTP-Anfrage zu umgehen.
Der Hersteller hat bereits Updates veröffentlicht und rät dringend dazu, die aktuellste Software-Version einzuspielen, um die Sicherheitslücken zu schließen. Von den beiden oben genannten Schwachstellen sind praktisch alle Atlassian-Lösungen betroffen:
- Bamboo
- Bitbucket
- Confluence
- Crowd
- Crucible
- Fisheye
- Jira
Eine weitere Schwachstelle mit der Bezeichnung CVE-2022-26138 betrifft die Atlassian App “Questions For Confluence”: Wenn die Anwendung auf dem Confluence Server oder Data Center aktiviert wird, erstellt diese automatisch ein Confluence-Benutzerkonto mit dem Benutzernamen “disabledsystemuser”.
Dieses Konto ist eigentlich dafür gedacht, Administratoren die Migration von Daten zwischen der App und der Confluence Cloud zu erleichtern. Das Problem: Das Konto “disabledsystemuser” hat ein hartkodiertes Kennwort, das bereits bei Twitter veröffentlicht wurde. Angreifer mit Kenntnis des Passworts können sich in Confluence anmelden und auf alle Seiten zugreifen, auf die die Nutzergruppe confluence-users Zugriff hat.
Von dieser Schwachstelle betroffen sind die Confluence-Versionen 2.7.34, 2.7.35 und 3.0.2. Patches sind in den Versionen 2.7.38 und 3.0.5 verfügbar. Auch hier sollte das Software-Update des Herstellers unverzüglich installiert werden.
Option:
Sollte dies zeitnah nicht möglich sein, empfiehlt es sich den Account “disabledsystemuser” zwischenzeitlich zu löschen oder zu deaktivieren, bis das Software-Update durchgeführt wird.
Um zu prüfen, ob der User “disabledsystemuser” in der Vergangenheit bereits genutzt wurde folgen Sie bitte folgender Verlinkung: https://confluence.atlassian.com/confkb/how-to-get-a-list-of-users-with-their-last-logon-times-985499701.html
Der User wurde sicher noch nie in der Vergangenheit verwendet, wenn nach "Last authentication time" Null steht.
Allgeier secion-Kunden mit einem aktiven Managed Service-Vertrag für ACD werden selbstverständlich unmittelbar über maliziöse Kommunikation auf ihren Systemen informiert, aktuell prüfen wir bspw. aktiv auf die IoCs in allen betroffenen Atlassian-Produkten.
Fazit
Die Zahl der Schwachstellen steigt kontinuierlich und fand mit 18.378 gemeldeten Lücken im Jahr 2021 seinen bisherigen Rekord. Bei der Bedrohungen durch Schwachstellen ist Zeit der entscheidende Faktor. Wird eine Schwachstelle von Kriminellen ausgenutzt und ein Angriff zu spät entdeckt, kann er bereits großflächigen Schaden angerichtet haben. Mit dem Active Cyber Defense Service (ACD) von Allgeier secion brauchen Sie kein SOC, kein SIEM und keine Forensik mehr: Beim Einsatz der “Managed Detection and Response-Lösung (MDR)” wird ihr Netzwerk durchgehend gescannt. Die IT Security Experten des ACD-Teams warnen Sie unmittelbar, sobald Auffälligkeiten im Netzwerk registriert werden und Handlungsbedarf erforderlich ist – und nicht erst nach der riskanten durchschnittlichen Dauer von 6 Monaten. So lässt sich die kritische Zeitspanne zwischen dem Versagen von Protection Tools und dem Einsatz der Response minimieren. ACD entlastet Ihr IT-Security Team und ist als Managed Service zum monatlichen Festpreis buchbar.
Brauchen Sie Unterstützung, um Ihre IT Security für 2022 aufzurüsten? Kontaktieren Sie uns!
Zum Thema passende Artikel
Im Februar 2024 wurde der deutsche Batteriehersteller VARTA Opfer eines ausgefeilten Cyberangriffs. Wie unter anderem die Süddeutsche Zeitung berichtete, legten Hacker die Produktion an allen fünf Standorten des Konzerns lahm. Rund vier Wochen nach dem folgenschweren Hackerangriff ist die Produktion der Batteriezellen zwar wieder angelaufen, allerdings sind die Nachwirkungen immer noch spürbar. Das Cybercrime-Zentrum Baden-Württemberg hat die Ermittlungen aufgenommen, allerdings sind derzeit noch keine näheren Angaben zu den Tätern veröffentlicht.
Weiterlesen … Deutscher Batteriehersteller Varta gehackt – Allgeier secion
Cisco, einer der weltweit führenden Anbieter für Netzwerklösungen, hat Einzelheiten zu einer äußerst kritischen Sicherheitslücke in seinem Betriebssystem Cisco IOS XE (CVE-2023-20198) bekannt gegeben. Diese Schwachstelle wird derzeit aktiv von Angreifern ausgenutzt und stellt eine ernsthafte Bedrohung für die IT-Sicherheit von Unternehmen weltweit dar.
Weiterlesen … Gravierende Sicherheitslücke in Cisco IOS XE gefährdet Tausende von Geräten
Seit einigen Tagen kommt es weltweit zu einer starken Häufung von erfolgreichen Kompromittierungen durch die Malware „QakBot“ (auch „QBot“ und „QuackBot“ genannt). Auch im Rahmen unseres ACD-Monitorings haben wir bereits erfolgreiche Angriffe identifiziert. Kriminelle können sich nach der Infektion Zugriff auf Online-Banking-Konten verschaffen, Nutzerdaten ausleiten und weitere Schadsoftware nachladen. Wir empfehlen als eine Maßnahme, um die Gefahr zu mindern, dringend Anpassungen der Gruppenrichtlinienobjekte (GPO).
Weiterlesen … QakBot-Malware: Warnung vor zunehmenden Angriffen