Se ha reportado un nuevo aviso de seguridad sobre una vulnerabilidad que afecta a Jira Service Management Server y Data Center, que permitiría a un atacante con acceso de escritura realizar suplantación de usuario y obtener acceso no autorizado a una instancia del sistema afectado.
La vulnerabilidad identificada como CVE-2023-22501, de severidad «crítica» y puntuación asignada de 9.4. Esta vulnerabilidad se debe a una falla de seguridad en la autenticación de Jira Service Management Server y Data Center. Esto permitiría a un atacante con acceso de escritura obtener los tokens de registro enviados a usuarios con cuentas en las que nunca se ha iniciado sesión para realizar suplantación de usuario y acceder a una instancia del sistema afectado.
Los productos afectados son:
- Jira Service Management Server y Data Center, versiones 5.3.0, 5.3.1, 5.3.2, 5.4.0, 5.4.1 y 5.5.0.
Se recomienda acceder a las actualizaciones proporcionadas por Atlassian en el siguiente enlace:
Adicionalmente, si no es posible aplicar la actualización inmediatamente Atlassian recomienda la siguiente mitigación temporal:
- Descargar el archivo JAR servicedesk-variable-substitution-plugin de la versión específica aquí.
- Detener Jira.
- Copiar el archivo JAR en tu directorio principal de Jira.
- Para el servidor: <Jira_Home>/plugins/installed-plugins.
- Para el centro de datos: <Jira_Shared>/plugins/installed-plugins.
- Iniciar Jira.
Referencias: