Vulnerability in Jira Service Management Server and Data Center - CVE-2023-22501

Dear customer,

on the 1st of February 2023 at 8 PM CEST, Atlassian issued a Security Advisory for Jira Service Management Server and Jira Service Management Data Center.
Atlassian Cloud sites are not affected. If your Jira site is accessed via an atlassian.net domain, it is hosted by Atlassian and you are not affected by the vulnerability.

What you need to know

This advisory discloses a critical severity security vulnerability which was introduced in version 5.3.0 of Jira Service Management Server et Data Center. 

An authentication vulnerability was discovered in Jira Service Management Server and Data Center which allows an attacker to impersonate another user and gain access to a Jira Service Management instance under certain circumstances. With public signup enabled on a Jira Service Management instance, an attacker could gain access to signup tokens sent to users with accounts that have never been logged into. Access to these tokens can be obtained in two cases:

• If the attacker is included on Jira issues or requests with these users, or

• If the attacker is forwarded or otherwise gains access to emails containing a “View Request” link from these users.

Bot accounts are particularly susceptible to this scenario. On instances with single sign-on, external customer accounts can be affected in projects where anyone can create their own account.

Affected Versions

The following versions are affected by this vulnerability:

• 5.3.0

• 5.3.1

• 5.3.2

• 5.4.0

• 5.4.1

• 5.5.0

Fixed Versions

What should I do?

Support

If you still have questions or concerns regarding this advisory, please contact the bitvoodoo support via support.bitvoodoo.ch.

Vulnerability in Jira Service Management Server and Data Center - CVE-2023-22501

Sehr geehrte Kunden,

Am 01. Februar 2023 20:00 Uhr CEST hat Atlassian ein Security Advisory für Jira Service Management Server und Jira Service Management Data Center veröffentlicht.
Die Cloud-Versionen der Anwendungen sowie andere Atlassian-Produkte sind nicht betroffen. Wenn der Zugriff auf Ihre Jira-Site über eine atlassian.net -Domain erfolgt, wird sie von Atlassian gehostet und Sie sind nicht von dieser Advisory betroffen.

Was Sie wissen müssen

Dieser Hinweis deckt eine kritische Sicherheitslücke auf, die in Version 5.3.0 von Jira Service Management Server und Data Center eingeführt wurde. 

In Jira Service Management Server and Data Center wurde eine Authentifizierungsschwachstelle entdeckt, die es einem Angreifer ermöglicht, sich als ein anderer Benutzer auszugeben und unter bestimmten Umständen Zugriff auf eine Jira Service Management-Instanz zu erhalten.

Wenn die öffentliche Anmeldung (public signup) auf einer Jira Service Management-Instanz aktiviert ist, kann ein Angreifer Zugriff auf Anmeldetoken erhalten, die an Benutzer mit Konten gesendet wurden, bei denen noch nie eine Anmeldung erfolgt ist. Der Zugriff auf diese Token kann in zwei Fällen erlangt werden:

• Wenn der Angreifer in Jira-Ausgaben oder -Anfragen mit diesen Benutzern enthalten ist, oder
• Wenn der Angreifer weitergeleitet wird oder auf andere Weise Zugang zu E-Mails erhält, die einen Link "Anfrage anzeigen" von diesen Benutzern enthalten.

Bot-Konten sind für dieses Szenario besonders anfällig. Auf Instanzen mit Single Sign-On können externe Kundenkonten in Projekten betroffen sein, bei denen jeder sein eigenes Konto erstellen kann.

Betroffene Versionen

Jira Service Management Server und Data Center:

• 5.3.0
• 5.3.1
• 5.3.2
• 5.4.0
• 5.4.1
• 5.5.0

Korrigierte Versionen

Jira Service Management Server und Data Center

• 5.3.3

• 5.4.2

• 5.5.1

• 5.6.0 oder spätere Versionen

Was soll ich tun?

Support

Wenn Sie noch Fragen oder Bedenken zu diesem Advisory haben, wenden Sie sich bitte an den bitvoodoo Support via support.bitvoodoo.ch.

Vulnerabilité de Jira Service Management Server et Data Center - CVE-2023-22501

Cher client,

le 1er février 2023 à 20h CEST, Atlassian a émis un avis de sécurité pour Jira Service Management Server et Jira Service Management Data Center.
Les sites Atlassian Cloud ne sont pas concernés. Si votre site Jira est accessible via un domaine atlassian.net, il est hébergé par Atlassian et vous n'êtes pas affecté par la vulnérabilité.

Ce que vous devez savoir

Cet avis divulgue une vulnérabilité de sécurité de gravité critique qui a été introduite dans la version 5.3.0 de Jira Service Management Server et Data Center. 

Une vulnérabilité d'authentification a été découverte dans Jira Service Management Server and Data Center qui permet à un attaquant de se faire passer pour un autre utilisateur et d'accéder à une instance de Jira Service Management dans certaines circonstances. Si la connexion publique est activée sur une instance de Jira Service Management, un attaquant peut avoir accès aux jetons de connexion envoyés aux utilisateurs dont les comptes n'ont jamais été connectés. L'accès à ces jetons peut être obtenu dans deux cas :

• Si l'attaquant est inclus dans les questions ou les demandes Jira avec ces utilisateurs, ou.
• Si l'attaquant est transféré ou obtient un accès aux e-mails contenant un lien "View Request" de ces utilisateurs.

Les comptes Bot sont particulièrement vulnérables à ce scénario. Sur les instances avec authentification unique, les comptes de clients externes peuvent être affectés dans les projets où n'importe qui peut créer son propre compte.

Versions affectées

Les versions suivantes sont affectées par cette vulnérabilité :

• 5.3.0

• 5.3.1

• 5.3.2

• 5.4.0

• 5.4.1

• 5.5.0

Versions corrigées

Que devez-vous faire?

Support

Si vous avez encore des questions ou des préoccupations concernant cet avis, veuillez contacter le support bitvoodoo via support.bitvoodoo.ch.