アトラシアン製ソフトウェアJiraに重大な認証不備の脆弱性（CVE-2023-22501）

佐々山 Tacos

2023.02.06

サイバーアラートについて

サイバーセキュリティ最新ニュースのまとめを平日毎日更新。

各見出しの末尾に、情報源のWebサイトへのリンク（赤字）が貼られています。

なお、リンク先のほとんどが、英語のニュースサイトやブログですが、クリックについてはあくまで自己責任で行っていただくようお願いいたします。

注目のニュースをピックアップ

2023年2月4日と5日のサイバーアラートの中から、注目のニュースをピックアップしました（その他のニュースはページ後半に記載）。

アトラシアン製ソフトウェアJiraに重大な認証不備の脆弱性（CVE-2023-22501）

The Hacker News – Feb 03 2023 07:55

アトラシアンが、Jira Service Management ServerおよびData Centerにおける重大なセキュリティ脆弱性（CVE-2023-22501、CVSS scoreは9.4）のパッチをリリース。同脆弱性は攻撃の複雑度が低い「認証不備の問題」と説明されており、悪用により、別のユーザーになりすまして影響を受けるインスタンスへ不正にアクセスすることが可能になる。

アトラシアンによると、「Jira Service ManagementインスタンスのUser Directoryとへの書き込みアクセスが可能であり、送信メールが有効化されている場合、攻撃者は、一度もログインしたことのないアカウントを持つユーザーに送信されたサインアップトークンにアクセスできる」とのこと。

同脆弱性の影響を受けるのは、バージョン5.3.0、5.3.1、5.3.2、5.4.0、5.4.1、5.5.0で、パッチは5.3.3、5.3.3、5.5.1および5.6.0以降のバージョンで利用可能とのこと。

The Hacker Newsは「最近、アトラシアン製品における脆弱性は攻撃者にとって魅力的な攻撃ベクターとなっている」とした上で、ユーザーにとっては潜在的な脅威を緩和するため最新バージョンへアップグレードすることが必要不可欠である、と呼びかけている。

GoAnywhere MFTのゼロデイ脆弱性が盛んに悪用される

Security Affairs – Feb 04 2023 16:04

Fortra社のファイル転送アプリケーションGoAnywhere MFTにおけるゼロデイ脆弱性を脅威アクターが盛んに悪用していると、専門家が注意喚起。著名な報道記者Brian Krebs氏が最初にMastodon上で同脆弱性の詳細を明かし、「Fortraはまだ公開アドバイザリを共有していない」と指摘した。

Krebs氏は非公開のアドバイザリを確認し、その内容の一部を共有。それによると、同脆弱性はリモートコードインジェクションの脆弱性で、同アプリの管理コンソールへアクセスできる攻撃者にしか悪用できないとのこと。

インターネットに接続されていない管理コンソールおよび管理インターフェースは安全だが、セキュリティ研究者Kevin Beaumont氏は、インターネットに接続されたコンソールを約1,000台発見しているという。

FortraはGoAnywhere MFTの顧客に対し、すべての管理者ユーザーをレビューし、認識されていないユーザー名（特にシステムによって作成されたもの）をモニタリングするよう推奨しているとのこと。なお同社はまだ同脆弱性に対処しておらず、一時的な措置として、web.xmlファイルから「License Response Servlet」コンフィギュレーションを削除するよう勧めている。

2023年2月4日

ハイライト

Jira Service Management ServerとData Centerにパッチを！そして侵害されていないかチェックを！（CVE-2023-22501）

Help Net Security – News – Feb 03 2023 09:57

注意：Fortra製品GoAnywhere MFTにおけるゼロデイをハッカーが盛んに悪用

The Hacker News – Feb 04 2023 04:41

F5 BIG-IPにおける脆弱性はDoSやコード実行につながる恐れ（CVE-2023-22374）

Information Security Buzz – Feb 03 2023 10:44

米CISAがOracle、SugarCRMの脆弱性を悪用されている脆弱性のリストに追加（CVE-2022-21587、CVE-2023-22952）

The Record – Feb 03 2023 21:50

Oracle E-Business Suiteの脆弱性、PoC公開後まもなく悪用が始まる（CVE-2022-21587）

Security Week – Feb 03 2023 11:52

アトラシアン、Jira Service Managementの重大な脆弱性について注意喚起（CVE-2023-22501）

Security Week – Feb 03 2023 12:55

CVE-2023-25136：OpenSSH Server 9.1における認証なしダブルフリーの脆弱性

Qualys Blog – Feb 03 2023 19:37

2023年2月5日

ハイライト

米CISAがOracle、SugarCRMの脆弱性を悪用が確認済みの脆弱性カタログに追加（CVE-2022-21587、CVE-2023-22952）

Security Affairs – Feb 04 2023 18:45

クラウドネイティブ・コミュニティが直面するセキュリティ問題のトップはAI脅威とオープンソースの脆弱性

SiliconANGLE – Feb 04 2023 20:44

メモリ分析 — マルウェアEmotet

Medium Cybersecurity – Feb 05 2023 00:21

LockBit : 成長を続けるサイバーセキュリティ界の脅威

Medium Cybersecurity – Feb 04 2023 22:11

Roku TVのハッキングによる照明の制御

Reverse Engineering – Feb 04 2023 19:13

Instant Checkmate、TruthFinderでデータ侵害：アカウント2,000万件がリークされる

HackRead – Feb 05 2023 01:52

ここに掲載されている内容は、信頼できる情報源に基づいて作成されていますが、その正確性、完全性、網羅性、品質を保証するものではなく、Silobreakerはそのような内容について一切の責任を負いません。読者の皆様におかれましては、ここに掲載されている内容をどのように評価するかは、ご自身で判断していただく必要があります。