Sicherheitslücke in Jira CVE-2019-11581
Am 10. Juli 2019 veröffentlichte Atlassian einen Sicherheitshinweis für eine Schwachstelle mit kritischem Schweregrad in den meisten Versionen von Jira Server und Jira Data Center. Die Schwachstelle wurde in der Version 4.4.0 eingeführt, die im Jahr 2011 veröffentlicht wurde, und betrifft Versionen wie 8.2.2, die am 13. Juni 2019 veröffentlicht wurden.
Die gute Nachricht ist, dass Benutzer von Jira Cloud nicht betroffen sind. Aber wie viele Unternehmen betreiben Jira Server oder Jira Data Center und sind anfällig für diesen Angriff?
Zehntausende potenziell betroffene Server
Anhand von Daten aus Shodan.io haben wir etwa 50.000 potenzielle Instanzen von Jira identifiziert. Von diesen bestätigten unsere weiteren Recherchen etwas mehr als 30.000 erreichbare Jira-Instanzen mit Versionsnummern. Und von diesen hatten nur 63 Versionen, die vor CVE-2019-11581 sicher waren.
Am Tag nach dem Advisory hatte die überwiegende Mehrheit der über das Internet zugänglichen Jira Server-Instanzen also anfällige Versionen. Es wäre schön, ein Diagramm zu zeigen, in dem gepatchte und ungepatchte Versionen verglichen werden, aber es gibt so wenige sichere Instanzen, dass sie für das menschliche Auge nicht sichtbar sind. Stattdessen finden Sie hier eine Grafik mit den zehn gängigsten Versionen von Jira Server in der von uns befragten Population, von denen keine in der Liste der festen Jira Server-Versionen enthalten ist.
Wir haben diese Daten kurz nach der Veröffentlichung der Empfehlung exportiert. Seitdem haben Administratoren weiterhin Schritte unternommen, um ihre Schwachstellen zu beheben, und es sollte jeden Tag weniger anfällige Instanzen geben. Eine erste Bewertung der Prävalenz dieses Risikos zeigt jedoch, dass Zehntausende von Instanzen potenziell anfällig sind und dass Patches bei weitem nicht überall verfügbar sind.
Da die Schwachstelle das "Contact Administrators Form" für die Template-Injektion ausnutzt, hat Atlassian auch eine Anleitung zur Deaktivierung dieses Formulars veröffentlicht. Einige der Server, die nicht aktualisiert wurden, wurden mit dieser Problemumgehung gesichert. Bei der manuellen Überprüfung von Websites, die anscheinend anfällige Versionen hatten, waren diese jedoch seit unserer ersten Datenerfassung in der Regel nicht gepatcht worden und hatten keine Nachweise für kompensierende Kontrollen implementiert. Die einzige Website, auf der sich die Version seit unserer ersten Datenerfassung geändert hatte, war die der NASA. Gute Arbeit NASA! In den allermeisten Fällen gab es jedoch keine Beweise dafür, dass die Besitzer auf eine sichere Version aktualisiert hatten.
Darüber hinaus konnten Benutzer das "Kontaktformular für Administratoren" deaktivieren. Auch hier wurde bei der manuellen Überprüfung von zufälligen Websites nur eine Website mit einem Hinweis angezeigt, dass diese deaktiviert wurde.
Die geografische Verteilung von Servern mit anfälligen Versionen ähnelt der Verteilung von Computersystemen weltweit. Die meisten befinden sich in den USA, aber anfällige Server wurden in 134 verschiedenen Ländern entdeckt. Im Grunde genommen hat jedes Land mit einer digitalen Wirtschaft wahrscheinlich Jira-Server, die von dieser Schwachstelle betroffen sein könnten.
Die Hostnamen für Jira Server können Aufschluss über die Arten von Organisationen geben, die betroffen sind. Von den Servern mit anfälligen Versionen enthielten 69 .gov in der URL. Diese Server wurden in 16 verschiedenen Ländern gehostet, was ein potenzielles Risiko für viele Regierungsfunktionen darstellte.
Wie viele anfällige Server es heute auch gibt, morgen sollten es weniger und übermorgen weniger sein. Dennoch gibt es immer noch viele potenziell verwundbare Jira-Server, und um sich vor Datenverlust aufgrund dieser Schwachstelle zu schützen, muss man sowohl wissen, ob Ihr Unternehmen über eine anfällige Instanz verfügt als auch, ob Ihre Anbieter ungepatchte Jira-Server ausführen.
Kontaktiere uns, wenn du deine Jira Server- oder Jira Data Center-Editionen auf diese Schwachstelle überprüfen möchtest.