bitvoodoo Advisories
Space shortcuts
Space Tools
bitvoodoo Advisories BVADVIS

Versions Compared

Old Version 12

changes.mady.by.user Daniele Talerico

Saved on

compared with

New Version 13

changes.mady.by.user Viktoria Tempfli

Saved on

Key

  • This line was added.
  • This line was removed.
  • Formatting was changed.


Warning

This is a public space:

For the draft, please restrict the page during creation and
remove this warning when page is published



English

Contents


German

Inhalte

Table of Contents


Page properties


Date

 

Product

  • Jira Service Management Server

  • Jira Service Management Data Center

VulnerabilityCritical
CVECVE-2023-22501
Official linkhttps://confluence.atlassian.com/jira/jira-service-management-server-and-data-center-advisory-2023-02-01-1188786458.html




English

Vulnerability in Jira Service Management Server and Data Center - CVE-2023-22501

Dear customer,

on the 1st of February 2023 at 8 PM CEST, Atlassian issued a Security Advisory for Jira Service Management Server and Jira Service Management Data Center.

Atlassian Cloud sites are not affected. If your Jira site is accessed via an atlassian.net domain, it is hosted by Atlassian and you are not affected by the vulnerability.

What you need to know

This advisory discloses a critical severity security vulnerability which was introduced in version 5.3.0 of Jira Service Management Server and Data Center. 

An authentication vulnerability was discovered in Jira Service Management Server and Data Center which allows an attacker to impersonate another user and gain access to a Jira Service Management instance under certain circumstances. With public signup enabled on a Jira Service Management instance, an attacker could gain access to signup tokens sent to users with accounts that have never been logged into. Access to these tokens can be obtained in two cases:

  • If the attacker is included on Jira issues or requests with these users, or

  • If the attacker is forwarded or otherwise gains access to emails containing a “View Request” link from these users.

Bot accounts are particularly susceptible to this scenario. On instances with single sign-on, external customer accounts can be affected in projects where anyone can create their own account.

Affected Versions

The following versions are affected by this vulnerability:

  • 5.3.0

  • 5.3.1

  • 5.3.2

  • 5.4.0

  • 5.4.1

  • 5.5.0

Fixed Versions

Product

Fixed Versions

Jira Service Management Server and Data Center

  • 5.3.3

  • 5.4.2

  • 5.5.1

  • 5.6.0 or later

What should I do?


Localtab Group


Localtab
activetrue
titleServer & Data Center

You use Jira Service Management Server or Data Center in a version listed in Affected Versions.

Upgrade

Atlassian recommends that you upgrade each of your affected installations to one of the listed fixed versions (or any later version) above (see the “Fixed Versions” section of this page for details).

For a full description of the latest version of Jira Service Management Server and Data Center, see the release notes. You can download the latest version of Jira Service Management and Data Center from the download center.

Workaround, Mitigation

Installing a fixed version of Jira Service Management is the recommended way to remediate this vulnerability.

If you are unable to immediately upgrade Jira Service Management, you can manually upgrade the version-specific servicedesk-variable-substitution-plugin JAR file as a temporary workaround.

Jira Service Management Versions

JAR File

5.5.0

servicedesk-variable-substitution-plugin-5.5.1-REL-0005.jar

5.4.0, 5.4.1

servicedesk-variable-substitution-plugin-5.4.2-REL-0005.jar

5.3.0, 5.3.1, 5.3.2

servicedesk-variable-substitution-plugin-5.3.3-REL-0001.jar


To update the servicedesk-variable-substitution-plugin JAR file:

  1. Download the version-specific JAR file from the table above.

  • Go to Administration > Manage apps and select Manage apps.

    • Select Upload app and upload the file you downloaded in step 1.
    Note

    Make sure to schedule off-peak time to perform these steps.

    After the plugin is loaded, it will be verified and Jira Service Management will be restarted.

    The process can take up to 10 minutes. Other Jira functionality will continue to work as expected during this time.

    If you are unable to upgrade your Jira Service Management instance or upload the JAR file in the mitigation above, another option is to disable public signup.

    Disabling public signup is a complete mitigation of this vulnerability.

    Because this step may disrupt the intended user flow of your instance, it should be treated as a temporary measure and Atlassian recommends that customers upgrade to a fixed version as soon as possible.

    To disable public signup, go to Administration > Applications and select Configuration in the Jira Service Management section. Then, in the Public signup section, select No, only admins can create accounts.

    Signup won't be available, and email requests from unidentified customers won't be processed

    1. Stop Jira.

    2. Copy the JAR file into your Jira home directory

      1. For the Server edition: <Jira_Home>/plugins/installed-plugins

      2. For the Data Center edition: <Jira_Shared>/plugins/installed-plugins

    3. Start Jira.



    Localtab
    titleCloud
    tabIconbvicon-cloud

    You use Jira Service Management Cloud.

    Tip

    You are not affected by the vulnerability.

    No need for actions


    Localtab
    titlebitvoodoo Cloud
    tabIconbvicon-cloud

    You use Jira Server or Jira Data Center on servers operated by bitvoodoo

    Mitigation
    Tip

    The mitigation has been implemented to secure instances hosted on the bitvoodoo cloud. 

    Update

    LTS Update Package Customers will get contacted to discuss the need of an update.






    Support

    If you still have questions or concerns regarding this advisory, please contact the bitvoodoo support via support.bitvoodoo.ch.


    German

    Vulnerability in Jira Service Management Server and Data Center - CVE-2023-22501

    Sehr geehrte Kunden,

    Am 01. Februar 2023 20:00 Uhr CEST hat Atlassian ein Security Advisory für Jira Service Management Server und Jira Service Management Data Center veröffentlicht.

    Die Cloud-Versionen der Anwendungen sowie andere Atlassian-Produkte sind nicht betroffen. Wenn der Zugriff auf Ihre Jira-Site über eine atlassian.net -Domain erfolgt, wird sie von Atlassian gehostet und Sie sind nicht von dieser Advisory betroffen.

    Was Sie wissen müssen

    Dieser Hinweis deckt eine kritische Sicherheitslücke auf, die in Version 5.3.0 von Jira Service Management Server und Data Center eingeführt wurde. 

    In Jira Service Management Server and Data Center wurde eine Authentifizierungsschwachstelle entdeckt, die es einem Angreifer ermöglicht, sich als ein anderer Benutzer auszugeben und unter bestimmten Umständen Zugriff auf eine Jira Service Management-Instanz zu erhalten.

    Wenn die öffentliche Anmeldung (public signup) auf einer Jira Service Management-Instanz aktiviert ist, kann ein Angreifer Zugriff auf Anmeldetoken erhalten, die an Benutzer mit Konten gesendet wurden, bei denen noch nie eine Anmeldung erfolgt ist. Der Zugriff auf diese Token kann in zwei Fällen erlangt werden:

    • Wenn der Angreifer in Jira-Ausgaben oder -Anfragen mit diesen Benutzern enthalten ist, oder
    • Wenn der Angreifer weitergeleitet wird oder auf andere Weise Zugang zu E-Mails erhält, die einen Link "Anfrage anzeigen" von diesen Benutzern enthalten.

    Bot-Konten sind für dieses Szenario besonders anfällig. Auf Instanzen mit Single Sign-On können externe Kundenkonten in Projekten betroffen sein, bei denen jeder sein eigenes Konto erstellen kann.

    Betroffene Versionen

    Jira Service Management Server und Data Center:

    • 5.3.0
    • 5.3.1
    • 5.3.2
    • 5.4.0
    • 5.4.1
    • 5.5.0

    Korrigierte Versionen

    Jira Service Management Server und Data Center

    • 5.3.3

    • 5.4.2

    • 5.5.1

    • 5.6.0 oder spätere Versionen

    Was soll ich tun?


    Localtab Group


    Localtab
    activetrue
    titleServer & Data Center
    tabIconbvicon-server

    Sie nutzen Jira Service Management Server oder Data Center in einer Version, die unter Betroffene Versionen aufgeführt ist.

    Update Server & Data Center

    Atlassian empfiehlt, dass Sie jede Ihrer betroffenen Installationen auf eine der oben aufgelisteten korrigierten Versionen (oder eine spätere Version) aktualisieren (siehe den Abschnitt "Korrigierte Versionen" auf dieser Seite).

    Eine vollständige Beschreibung der neuesten Version von Jira Service Management Server und Data Center finden Sie in den "Release Notes". Sie können die neueste Version von Jira Service Management und Data Center aus dem Download-Center herunterladen.

    Workaround, Mitigation Server & Data Center

    Es wird empfohlen, eine korrigierte Version von Jira Service Management zu installieren, um diese Sicherheitslücke zu beheben.

    Wenn Sie nicht in der Lage sind, Jira Service Management sofort zu aktualisieren, können Sie die versionsspezifische JAR-Datei "servicedesk-variable-substitution-plugin" als vorübergehende Lösung manuell aktualisieren.

    Jira Service Management Versions

    JAR File

    5.5.0

    servicedesk-variable-substitution-plugin-5.5.1-REL-0005.jar

    5.4.0, 5.4.1

    servicedesk-variable-substitution-plugin-5.4.2-REL-0005.jar

    5.3.0, 5.3.1, 5.3.2

    servicedesk-variable-substitution-plugin-5.3.3-REL-0001.jar


    So aktualisieren Sie die JAR-Datei für das servicedesk-variable-substitution-plugin:

    1. Laden Sie die versionsspezifische JAR-Datei aus der obigen Tabelle herunter.
    2. Gehen Sie zu Administration > Apps verwalten und wählen Sie Apps verwalten

      Stoppen Sie Jira.

      Wählen

    3. Kopieren Sie

      App hochladen und laden Sie

      die JAR-Datei

      hoch, die Sie in Schritt 1 heruntergeladen haben.
    Note

    Achten Sie darauf, dass Sie für diese Schritte eine Zeit außerhalb der Randzeiten einplanen.

    Nachdem das Plugin geladen wurde, wird es überprüft und Jira Service Management neu gestartet.

    Dieser Vorgang kann bis zu 10 Minuten dauern. Andere Jira-Funktionen funktionieren während dieser Zeit weiterhin wie erwartet.

    Wenn Sie nicht in der Lage sind, Ihre Jira Service Management-Instanz zu aktualisieren oder die JAR-Datei in der oben genannten Abschwächung hochzuladen, besteht eine weitere Möglichkeit darin, die öffentliche Anmeldung zu deaktivieren.

    Die Deaktivierung der öffentlichen Anmeldung ist eine vollständige Lösung dieser Sicherheitslücke.

    Da dieser Schritt den beabsichtigten Benutzerfluss Ihrer Instanz unterbrechen kann, sollte er als vorübergehende Maßnahme betrachtet werden, und Atlassian empfiehlt, dass Kunden so bald wie möglich auf eine korrigierte Version aktualisieren.

    Um die öffentliche Anmeldung zu deaktivieren, gehen Sie zu Administration > Anwendungen und wählen Sie Konfiguration im Abschnitt Jira Service Management. Wählen Sie dann im Abschnitt Öffentliche Registrierung die Option Nein, nur Jira-Administratoren können Ankündigungen zum Hilfecenter hinzufügen.

    Die Anmeldung ist dann nicht verfügbar, und E-Mail-Anfragen von nicht identifizierten Kunden werden nicht bearbeitet

    1. in Ihr Jira-Stammverzeichnis

      1. Für die Server-Edition: <Jira_Home>/plugins/installed-plugins

      2. Für die Data Center Edition:  <Jira_Shared>/plugins/installed-plugins

    2. Starten Sie Jira.


    Localtab
    titleCloud
    tabIconbvicon-cloud

    Sie nutzen Jira Service Management Cloud

    Tip

    Sie sind von diesem Security Advisory nicht betroffen.

    Keine Aktion erforderlich


    Localtab
    titlebitvoodoo Cloud
    tabIconbvicon-cloud

    Ihr Jira Server oder Data Center wird durch bitvoodoo gehostet

    Mitigation bitvoodoo Cloud
    Tip

    Die Mitigation wurde implementiert um die Instanzen in der bitvoodoo Cloud abzusichern.

    Update bitvoodoo Cloud

    Kunden mit einem LTS Update-Paket werden kontaktiert, um die Möglichkeit eines Updates zu besprechen.


    Support

    Wenn Sie noch Fragen oder Bedenken zu diesem Advisory haben, wenden Sie sich bitte an den bitvoodoo Support via support.bitvoodoo.ch.



    bitvoodoo Advisories BVADVIS