0 
0 Duas vulnerabilidades no Atlassian Jira Align, uma ferramenta de software como serviço (SaaS) de planejamento ágil, podem permitir que usuários com acesso ao serviço se tornem administradores de aplicativos e, em seguida, ataquem o serviço Atlassian.
Isso é de acordo com a empresa de serviços de segurança cibernética Bishop Fox, que disse em um comunicado hoje que as vulnerabilidades tipificam os riscos apresentados aos serviços em nuvem por falhas relativamente conhecidas, mas muitas vezes difíceis de detectar.
As duas vulnerabilidades encontradas pelo Bishop Fox afetam o aplicativo Jira Align, que é usado para definir metas de desenvolvimento ágil, rastrear esforços em direção a essas metas e criar estratégias ágeis. Como todas as instâncias do Jira Align são provisionadas pela Atlassian, um invasor pode obter o controle de uma parte da infraestrutura de nuvem da empresa, afirmou Bishop Fox.
Uma vulnerabilidade, uma falsificação de solicitação do lado do servidor (SSRF), pode permitir que um usuário recupere “as credenciais da AWS da conta de serviço da Atlassian que provisionou a instância do Jira Align”, de acordo com Bishop Fox.
A segunda vulnerabilidade — no mecanismo de autorização para usuários com a função Pessoas — pode permitir que esses usuários elevem sua função para Superadministrador, que tem acesso a todas as configurações do locatário do Jira Align, como redefinir contas e modificar configurações.
A combinação das duas falhas pode permitir um ataque significativo, diz Jake Shafer, consultor de segurança da Bishop Fox, que descobriu as falhas.
“Usar a descoberta de autorização permitiria que um usuário com poucos privilégios elevasse sua função para superadministrador, o que, em termos de divulgação de informações, permitiria ao invasor obter acesso a tudo o que o cliente do SaaS tinha em sua implantação do Jira”, diz ele. . “A partir daí, o invasor pode aproveitar a descoberta do SSRF para perseguir a infraestrutura da Atlassian.”
Ambas as vulnerabilidades foram corrigidas – a primeira em uma semana e a segunda em um mês, de acordo com a linha do tempo de divulgação publicada por Bishop Fox.
No entanto, as empresas devem observar que a crescente dependência de aplicativos em nuvem tornou os ataques a serviços e cargas de trabalho em nuvem muito mais comuns, tanto que a primeira classe de vulnerabilidade, de acordo com o Open Web Application Security Project (OWASP) , é autenticação quebrada e problemas de controle de acesso.
Além disso, problemas de autorização são difíceis de serem identificados por ferramentas automatizadas; além disso, o SSRF é uma classe relativamente nova de vulnerabilidade que usa a funcionalidade e os servidores de um serviço de nuvem para realizar ataques, muitas vezes ignorando a segurança na borda da rede, bem como algumas medidas de segurança interna.
O software Jira da Atlassian já teve que lidar com outras instâncias de falsificação de solicitações do lado do servidor , mas a empresa não está sozinha. Em 2019, um ex-Amazon Web Services usou uma vulnerabilidade SSRF para roubar dados da empresa financeira Capital One .
Como combater bugs de segurança na nuvem
Com os serviços em nuvem se tornando parte das operações da grande maioria das empresas, é fundamental lidar com as principais vulnerabilidades da nuvem, diz Shafer.
“Com a prevalência de quão integrados esses aplicativos SaaS se tornaram nas operações diárias de pequenas e grandes empresas, é importante lembrar que mesmo essas empresas bem estabelecidas podem cometer erros”, diz ele. “Confie, mas verifique todos os novos softwares nos quais você terá que confiar, especialmente algo tão enraizado na tecnologia.”
Essas vulnerabilidades mais recentes destacam que os desenvolvedores devem sempre verificar o conteúdo fornecido pelos usuários antes de concluir uma solicitação, diz Shafer. Verificações adicionais de sanitização de entrada podem impedir ambos os ataques.
“Você está permitindo que os clientes entrem em sua infraestrutura de nuvem, eles podem estar pagando pelo serviço, mas no final do dia eles devem ser considerados tão não confiáveis quanto um invasor em potencial”, diz ele.
As empresas devem testar manualmente os aplicativos de terceiros ou entrar em contato com o provedor de nuvem e verificar os resultados de suas avaliações de segurança. Infelizmente, ferramentas automatizadas não são boas para descobrir problemas de autorização, diz Shafer.
“Essas ferramentas contam com um conjunto de instruções ou diretrizes sobre o que procurar e lidar com problemas de autorização será diferente para cada software disponível”, diz ele. “É muito difícil estabelecer um conjunto de regras que um scanner possa pegar e dizer ‘Ei, o usuário X não deve ser capaz de fazer Y no contexto dessa funcionalidade específica.'”
Shafer elogiou a resposta da Atlassian, dizendo que a empresa “fez todas as coisas certas”. A Atlassian não forneceu um comentário até o momento da publicação.
FONTE: DARK READING