毛病设置的JIRA服务器已致使数百家财产500强企业和多国政府网站的敏感数据被走漏 | 申博官网
登录
  • 欢迎进入申博官网!
  • 如果您觉得申博官网对你有帮助,那么赶紧使用Ctrl+D 收藏申博官网并分享出去吧
  • 这里是申博官方网!
  • 申博官网是菲律宾sunbet官网品牌平台!
  • 申博开户专业品牌平台!

毛病设置的JIRA服务器已致使数百家财产500强企业和多国政府网站的敏感数据被走漏

申博_新闻事件 申博 130次浏览 已收录 0个评论

JIRA是如今比较盛行的基于Java架构的治理体系,开发者是 Atlassian,是集项目设计、任务分配、需求治理、毛病跟踪于一体的商业软件。因为Atlassian公司对很多开源项目执行免费供应缺点跟踪效劳,因而在开源范畴,其认知度比其他的产物要高很多,而且易用性也好一些。如今,它已被122个国度的135000多家公司运用。

不过近来,平安工程师Avinash Jain发现了JIRA效劳器中的毛病设置破绽,该破绽许可任何人接见内部用户数据,包括他们的姓名,电子邮件ID以及用户的正在进行的项目的详细信息。

受影响的客户包括 NASA,谷歌,雅虎,Go-Jek,HipChat,Zendesk,Sapient,Dubsmash,西联汇款,遐想,1password,Informatica等公司,以及世界各地政府的很多部门也遭遇一样的影响,如欧洲政府,联合国,美国航天局,巴西政府运输部门的网站等。

JIRA中的毛病权限设置

毛病设置问题是因为在建立过滤器和仪表板时分配了毛病的权限,而在建立新过滤器或仪表板时,默许状况下将可视性设置为一切用户和一切人,而不是同享构造中的一切人。

假如权限设置为一切人,那末任何人都能够经由过程URL接见敏感数据,而且还能够被搜刮引擎检索到。走漏暴露出以下敏感细节:

1. 一切帐户的员工姓名和电子邮件;

2. 员工在JIRA小组的角色;

3. 当前项目在JIRA仪表板或过滤器中的希望度。

经由过程运用Google dork搜刮查询,任何人都能够编写搜刮查询并从JIRA效劳器中提取敏感信息。

在Google引擎里,有一种行内子都称之为 Google Dork的搜刮要领,这个词语的也许意义就是说这类信息虽然没有制止Google收录,然则往往是平安或许致命的信息,比方phpMyAdmin初始化的时刻,假如没有设置暗码,或许治理员没有删除相似的初始化页面,默许页平常是初始化操纵,比方Welcome to phpMyAdmin,然后让你建立一个数据库(Create new database),那你假如搜刮”Welcome to phpMyAdmin” AND ” Create new database”的话,Google会给你一大批纪录。

Avinash Jain说:

“不计其数的公司过滤器,仪表板和员工数据公然暴光。之所以涌现这类状况,是因为过滤器和仪表板设置了毛病的权限计划,因而纵然对非登录用户也能够接见,从而致使敏感数据泄漏。”

来看看一些泄漏的数据

1.JIRA过滤器能够被公然接见

毛病设置的JIRA服务器已致使数百家财产500强企业和多国政府网站的敏感数据被走漏

Empire开发者宣布框架停止维护

本周,黑客们使用的“Empire post-exploitation”框架已被停用,转而使用其他新颖的工具进行攻击活动。 周三,这个框架的开发者之一克里斯·罗斯(Chris Ross)宣布了这一消息。他说,该项目实现了最初的目的,即不仅展示了PowerShell的后开发能力,同时提高了使用PowerShell进行恶意操作的高级参与者的意识。 研究人员进一步解释说,这项决定得到了“

2.NASA项目概况

毛病设置的JIRA服务器已致使数百家财产500强企业和多国政府网站的敏感数据被走漏

如上所示,因为这些设置毛病的JIRA设置,它会公然员工姓名,员工角色,项目希望以及种种其他信息。

如今,看看Avinash Jain是怎样经由过程来自“Google dork”找到这些公然暴光的用户选择器功用、过滤器以及很多公司的仪表板的URL的。

Google 的搜刮以下:

inurl:/UserPickerBrowser.jspa -intitle:Login -intitle:Log

然后效果就出来了,以下图所示:

毛病设置的JIRA服务器已致使数百家财产500强企业和多国政府网站的敏感数据被走漏

此查询列出了其URI中具有“UserPickerBrowser”的一切URL,以查找公然而且不需要经由身份验证的一切设置毛病的 JIRA 用户选择器功用,其中就包括谷歌收买Apigee员工的秘要数据。

再比方以下建立的这个搜刮查询:

inurl:/ManageFilters.jspa?filterView=popular AND ( intext:All users OR intext:Shared with the public OR intext:Public )

此查询列出了一切在其URI中具有“Managefilters”而且文本为“Public”的URL,以便找到一切公然暴露且未经由身份验证的毛病设置的JIRA过滤器。效果以下图以下:

毛病设置的JIRA服务器已致使数百家财产500强企业和多国政府网站的敏感数据被走漏

再比方以下建立的这个搜刮查询:

inurl:/ConfigurePortalPages!default.jspa?view=popular

此查询会列出其URI中具有“ConfigurePortalPages”的一切URL,以查找公然公然的一切JIRA仪表板。

毛病设置的JIRA服务器已致使数百家财产500强企业和多国政府网站的敏感数据被走漏

别的, Avinash Jain 发如今以上提到的走漏公司中都有包括“company.atlassian.net”花样的JIRA URL,因而假如你想搜检任何设置毛病的过滤器,仪表板或用户选择器功用的公司,你只需将他们的名字放在URL中即可查询 到相干走漏信息。

https://companyname.atlassian.net/secure/popups/UserPickerBrowser.jspa
https://companyname.atlassian.net/secure/ManageFilters.jspa?filterView=popular 
https://companyname.atlassian.net/secure/ConfigurePortalPages!default.jspa?view=popular

在此,发起Atlassian(JIRA)必需处置惩罚并更明白地明白“任何登录用户”的寄义。

原文地点: https://www.4hou.com/info/news/19566.html


申博|网络安全巴士站声明:该文看法仅代表作者自己,与本平台无关。版权所有丨如未注明 , 均为原创丨本网站采用BY-NC-SA协议进行授权
转载请注明毛病设置的JIRA服务器已致使数百家财产500强企业和多国政府网站的敏感数据被走漏
喜欢 (0)
[]
分享 (0)
发表我的评论
取消评论
表情 贴图 加粗 删除线 居中 斜体 签到

Hi,您需要填写昵称和邮箱!

  • 昵称 (必填)
  • 邮箱 (必填)
  • 网址