ב-Jira Server וב-Jira Data Center, הגרסאות שארגונים מתקינים על שרתים משל עצמם, יש חולשה שמאפשרת לתוקף מרוחק לקרוא קבצים מסוימים מהשרת בלי להזדהות. היא אינה מאפשרת להשתלט על המערכת ואינה חושפת את תוכן הפרויקטים, אבל מה שהיא כן מחזירה שימושי לתוקף בשלב הבא. היא מופיעה ברשימת החולשות המנוצלות בפועל מאז נובמבר 2024.

מה החולשה?

יישום ווב מתרגם כתובת שמגיעה מהדפדפן לנתיב של קובץ או לפעולה בקוד. ב-Jira היה מסלול שבו הכתובת שהמשתמש שולח הגיעה לשכבה שמחפשת קבצים, בלי שנבדק קודם לאן היא בעצם מצביעה.

תוקף שמרכיב כתובת שמטפסת למעלה בעץ התיקיות מגיע לקובץ web.xml שיושב תחת WEB-INF. זה קובץ ההגדרות של יישום ג'אווה, והוא תמיד אמור להיות מחוץ לתחום למי שגולש מבחוץ. לטכניקה הזאת קוראים Path Traversal.

ברשומה מצוין שמה שהחולשה מאפשרת הוא קריאה של קבצים מסוימים, ולא מעבר חופשי על כל מערכת הקבצים. זה מסביר גם את הציון הנמוך יחסית שהיא קיבלה: אין כאן הרצת קוד ואין שינוי נתונים, יש חשיפת מידע.

מי מושפע?

לפי הרשומה, Jira Server ו-Jira Data Center בגרסאות שלפני 8.5.14, בגרסאות 8.6.0 עד 8.13.6, ובגרסאות 8.14.0 עד 8.16.1.

זאת חולשה שרלוונטית לישראל יותר מהרוב. Jira הוא כלי ניהול המשימות הנפוץ בחברות תוכנה, וגרסאות ה-Server וה-Data Center הן אלה שמותקנות בתוך הארגון, בעיקר אצל מי שלא רצה להעלות את נתוני הפיתוח לענן: חברות ביטחוניות, גופים מוסדיים וארגונים עם דרישות רגולציה.

מי שמשתמש ב-Jira בענן אינו צריך לעשות דבר. החולשה נוגעת להתקנות שהארגון מריץ ומתחזק בעצמו.

האם מנוצלת בפועל?

כן. ב-12 בנובמבר 2024 הוסיפה CISA, סוכנות הסייבר האמריקאית, את החולשה לקטלוג ה-KEV, שמרכז חולשות שיש עליהן ראיות לניצול בידי תוקפים, עם מועד תיקון לגופים פדרליים ב-3 בדצמבר 2024.

ברשומה מופיע גם פרסום פומבי שמתאר את קריאת הקובץ הזה בגרסה מוקדמת של Jira. חולשה שמחזירה קובץ הגדרות אינה היעד הסופי של תוקף, היא השלב שבו הוא לומד איך המערכת בנויה לפני שהוא בוחר את הצעד הבא.

מה עושים?

עדכנו את Jira לגרסה 8.5.14, 8.13.6 או 8.16.1 ומעלה, לפי הענף שאתם מריצים. הודעת האבטחה של Atlassian מפרטת את הגרסאות המתוקנות.

כדי לדעת באיזו גרסה אתם, היכנסו לממשק הניהול של Jira ובדקו את מספר הגרסה במסך פרטי המערכת. אם המספר מתחיל ב-8 ולא נגעתם בהתקנה מאז 2021, אתם כנראה בטווח.

אם ההתקנה נגישה מהאינטרנט, שקלו להגביל אותה. Jira שמשרת עובדים יכול לשבת מאחורי חיבור VPN, וזה מוציא מהתמונה את הסריקות האוטומטיות שמחפשות בדיוק את הנתיב הזה.

ואם רצתם בגרסה חשופה והשרת היה פתוח, הניחו שקובץ ההגדרות נקרא. עברו עליו ובדקו אם יש בו פרטי התחברות למסד נתונים או למערכות אחרות, והחליפו את מה שמופיע שם.