 |
Varonis предупреждает о возможных рисках ошибочных конфигураций Jira
Компания Varonis, один из новаторов мирового рынка безопасности и аналитики данных, сообщает, что ошибки в организации доступа к Jira могут привести к компрометации данных сотрудников и проектов сотен компаний, в том числе, входящих в список Fortune 1000. Вероятность такого риска была выявлена экспертами Varonis, проанализировавших 812 поддоменов корпоративных сайтов. Поддомены открывают доступ к средам Jira, через которые доступны 3774 информационные панели, 244 проекта и 75629 записи, содержащие адреса электронной почты, URL- и IP-адреса.
В ходе исследования было обнаружено, что API Jira REST предоставляет доступ к гораздо большему объему данных, нежели веб-интерфейс. Эта особенность API не является уязвимостью и проявляется только в случае неверного конфигурирования прав доступа. Тем не менее, администраторы Jira могут быть введены в заблуждение и неумышленно открыть доступ к конфиденциальным данным.
Так, во время мониторинга систем одной из логистических компаний была обнаружена в открытом доступе панель управления Jira, которая содержала общедоступные URL-адреса конфиденциальных систем компании. В другом случае (речь идет об одной из финансовых организаций) эксперты Varonis обнаружили, что в открытом доступе из-за ошибки с правами доступа оказались адреса электронной почты сотрудников банка. И в том, и в другом случае информация могла использоваться злоумышленниками для проведения фишинговых атак или попыток взлома корпоративных систем.
Jira – популярный сервис компании Atlassian, который используется для организации команд разработчиков ПО. Один из его элементов – информационные панели, используемые менеджментом рабочих групп. Права доступа к информационным панелям могут настраиваться администраторами систем. Из-за неточных формулировок, использовавшихся ранее в интерфейсе управления доступом, администраторы Jira могли по ошибке предоставлять доступ к информационным панелям Jira всем желающим. Несколько лет назад Atlassian исправила эту уязвимость, однако глобальное отключение открытого доступа не приводит к автоматическому удалению общедоступных разрешений с объектов Jira – необходимо перенастроить параметры общего доступа на каждой панели управления. Исследовательская группа Varonis обнаружила, что можно извлечь больше открытых данных, используя REST API Jira. При помощи REST API злоумышленник может написать простой скрипт для сканирования учетной записи Jira компании и быстрого извлечения конфиденциальных данных.
Не устраненные ошибки могут использоваться киберпреступниками для получения как общей информации (название проекта, состав его участников), так и детальной информации, – URL-адресов информационных систем компании, адресов электронной почты ее сотрудников, включая адреса администраторов систем. Все эти данные могут использоваться для проведения атак на инфраструктуру: рассылки фишинговых писем, взлома систем при помощи перебора паролей или известных уязвимостей.
«Стоит напомнить, что ошибки, связанные с организацией доступа к информационным системам компаний признаны наиболее существенным риском сообществом обеспечения безопасности веб-приложений OWASP Foundation. Причина столь серьезной оценки этой категории рисков – использование компаниями огромного числа SaaS-приложений, многие из которых интегрируются друг с другом и могут быть скомпрометированы из-за ошибочной конфигурации сторонних сервисов», – отмечает Даниэль Гутман, глава Varonis в России.
Эксперты Varonis считают, что из-за ошибки с правами доступа к панелям Jira могли быть скомпрометированы 3 тысячи адресов электронной почты, 5500 IPv4- и более 60000 URL-адресов корпоративных информационных систем.
Varonis рекомендует всем организациям, использующим Jira как в облачной, так и в on-premise инфраструктурах, провести аудит политик доступа к своим системам. Для этого можно использовать специальный сервис компании Atlassian, который описывает все необходимые для устранения ошибок меры. Кроме того, администраторы могут провести проверку прав доступа в настройках Jira (Settings-System-Global Permissions).
О компании Varonis (https://www.varonis.com/ru/)
Varonis Systems – разработчик программных решений для защиты от комплексных кибератак, основанных на поведенческом анализе пользователей и защите данных компании. Компания была основана в 2005 году, став пионером в области управления и контроля неструктурированных данных. По разным источникам, Varonis занимает более 70% мирового рынка в этой области. Среди разработок Varonis решение по аудиту периметра сети и поведенческому анализу, которое помогает заказчикам вовремя выявлять продвинутые кибератаки и защищаться от них. Сегодня у компании более 7000 заказчиков во всем мире.
Контактное лицо: Татьяна Алексеева
Компания: Varonis
Добавлен: 18:03, 03.12.2021
Количество просмотров: 671
Страна: Россия
| Система управления уязвимостями Vulns.io Enterprise VM поможет повысить защищенность IT-инфраструктур промышленных предприятий, Фродекс, 23:36, 06.06.2024, Россия365 |
| 30 мая 2024 года, Москва. Кибербезопасность промышленных предприятий, многие из которых входят в объекты критической инфраструктуры страны, — один из важнейших вопросов национальной безопасности. Компания «Фродекс», один из ведущих российских разработчиков новых технологий и продуктов кибербезопасности, предложила решение, которое позволит повысить уровень защищенность IT-инфраструктур таких предприятий. |
| В АО "Желдорреммаш" запущен проект “Дашборд”, АО Желдорреммаш, 23:23, 06.06.2024, Россия172 |
| В АО “Желдорреммаш” запущен уникальный инструмент управления и мониторинга - дашборд. Его цель - отслеживание в реальном времени ключевых показателей деятельности компании в месячном и годовом значении, а также плана выполнения различных параметров бережливого производства по каждой производственной площадке Общества. |
| ЕДИНЫЙ ЦУПИС и академия «Динамо» развивают детско-юношеский футбол в Новгородской области, ЕДИНЫЙ ЦУПИС (НКО "Мобильная карта"), 22:46, 06.06.2024, Россия167 |
| ЕДИНЫЙ ЦУПИС, финтех-проект в регулируемой индустрии развлечений, и Новгородский филиал футбольной академии «Динамо» им. Л.И. Яшина договорились о развитии сотрудничества. При поддержке ЕДИНОГО ЦУПИС в регионе усовершенствуют спортивную инфраструктуру, а воспитанники академии примут участие в престижных футбольных турнирах. |
| Офис ЕДИНОГО ЦУПИС получил премию Best Office Awards, ЕДИНЫЙ ЦУПИС (НКО "Мобильная карта"), 22:41, 06.06.2024, Россия182 |
| Офис ЕДИНОГО ЦУПИС в Санкт-Петербурге стал победителем премии Best Office Awards 2024 в номинации «Комфорт и эргономика». Одну из главных российских профессиональных наград в области дизайна общественных пространств получили команда финтех-проекта и архитектурного бюро Designic. |
| Сотрудники сети «Кофемания» перешли в eXpress, eXpress, 22:27, 06.06.2024, Россия170 |
| Компания «Кофемания» перевела корпоративную коммуникацию и бизнес-процессы в российский суперапп для бизнеса eXpress. Первыми пользователями стали 300 сотрудников бекофиса компании. |
| Уборка «Воды России» на краю земли, ФГБУ «Центр развития ВХК», 22:26, 06.06.2024, Россия173 |
| Всероссийская акция «Вода России», масштабный волонтерский проект по очистке берегов водоемов, пройдет в Новосибирске. Мероприятие реализуется в рамках нацпроекта “Экология” и станет одним из важнейших событий Дня эколога и пройдет в рамках Марафона Зеленых Дел Всероссийского движения «Экосистема». |
|
|
