發布單位:TWCERT/CC
更新日期:2023-02-04
SaaS 大廠 Atlassian 日前發表資安通報，指出旗下產品 Jira Service Management Server and Data Center 遭發現一個嚴重漏洞 CVE-2023-22501；該漏洞在某些情形下，可導致未授權駭侵者假冒其他用戶登入，並取得遠端連線能力以存取系統。
Atlassian 在資安通報中指出，在對用戶目錄的寫入權限與外送 Email 都為啟用狀況下，Jira Service Management 實例可能會遭到攻擊者使用從未登入的帳號，以傳送給用戶的註冊 token 取得系統存取權限，而駭侵者可以透過兩種方式輕易取得該註冊用 token。
該 CVE-2023-22501 漏洞據 Atlassian 自行評估，其 CVSS 危險程度評分高達 9.4 分（滿分為 10 分），其危險程度評級也高居最危險等級的「Critical」。
