В Twitter просочился жестко закодированный пароль в приложении Confluence

Развернуть Гетти Изображений

Что может быть хуже широко используемого корпоративного приложения, подключенного к Интернету, с жестко заданным паролем? Попробуйте упомянутое бизнес-приложение после того, как жестко закодированный пароль станет известен всему миру.

В среду Atlassian сообщила о трех критических уязвимостях продуктов, в том числе о CVE-2022-26138, возникшей из-за жестко закодированного пароля в Questions for Confluence, приложении, которое позволяет пользователям быстро получать помощь по распространенным вопросам о продуктах Atlassian. Компания предупредила, что код доступа «легко получить».

Компания заявила, что на момент публикации Questions for Confluence было установлено 8055 раз. После установки приложение создает учетную запись пользователя Confluence с именем disabledsystemuser, чтобы помочь администраторам перемещать данные между приложением и облачной службой Confluence. Жестко закодированный пароль, защищающий эту учетную запись, позволяет просматривать и редактировать все неограниченные страницы Confluence.

«Удаленный злоумышленник, не прошедший проверку подлинности, зная жестко закодированный пароль, может использовать его для входа в Confluence и получения доступа ко всем страницам, к которым имеет доступ пул пользователей Confluence», — заявили в компании. «Важно немедленно устранить эту уязвимость в уязвимых системах».

Днем позже Atlassian снова сообщила, что «внешняя сторона обнаружила и публично раскрыла жестко закодированный пароль в Twitter», что побудило компанию усилить свои предупреждения.

"Эта проблема, вероятно, будет использоваться в дикой природе теперь, когда жестко запрограммированный пароль стал общеизвестным", — говорится в обновленном совете. «Эта уязвимость должна быть немедленно устранена в уязвимых системах».

Компания предупредила, что даже если при установке Confluence приложение не установлено активно, оно все равно может быть уязвимым. Удаление приложения не устраняет уязвимость автоматически, поскольку учетная запись disabledsystemuser может по-прежнему находиться в системе.

Чтобы определить, уязвима ли система, Atlassian посоветовала пользователям Confluence искать учетные записи со следующей информацией:

Пользователь: системный пользователь отключен Имя пользователя: disabledsystemuser Электронная почта: dontdeletethisuser@email.com

Atlassian предоставила дополнительные инструкции по поиску этих аккаунтов здесь. Уязвимость затрагивает версии 2.7.x и 3.0.x Questions for Confluence. Компания Atlassian предоставила клиентам два способа решения проблемы: отключить или удалить учетную запись «disabledsystemuser». Компания также опубликовала этот список ответов на часто задаваемые вопросы.

Пользователи Confluence, которым нужны доказательства эксплуатации, могут проверить время последней аутентификации для disabledsystemuser, следуя приведенным здесь инструкциям. Если результат равен нулю, учетная запись существует в системе, но с ее помощью еще никто не вошел в систему. Команды также отображают все недавние попытки входа в систему, которые были успешными или неудачными.

"Теперь, когда исправления доступны, можно ожидать, что усилия по дифференциации и обратному инжинирингу позволят создать общедоступную POC в довольно короткие сроки", – написал Кейси Эллис, основатель службы, сообщая об уязвимостях Bugcrowd, в прямом сообщении. «Магазины Atlassian должны как можно быстрее исправлять продукты, предназначенные для широкой публики, и продукты, находящиеся за брандмауэром. В комментариях рекомендации не рекомендуется использовать фильтрацию прокси-сервера в качестве меры по смягчению последствий, и предполагается, что существует несколько способов срабатывания.

Две другие уязвимости, обнаруженные Atlassian в среду, также серьезны и затрагивают следующие продукты:

Бамбуковый сервер и центр обработки данных Сервер Bitbucket и центр обработки данных Сервер Confluence и центр обработки данных Крауд-сервер и дата-центр Горнило