Vulnerabilidad de seguridad de Jira CVE-2019-11581

El 10 de julio de 2019, Atlassian publicó un aviso de seguridad para una vulnerabilidad de gravedad crítica en la mayoría de las versiones de Jira Server y Jira Data Center. La vulnerabilidad se introdujo en la versión 4.4.0, publicada en 2011, y afecta a versiones tan recientes como la 8.2.2, publicada el 13 de junio de 2019.

La buena noticia es que los usuarios de Jira Cloud no se ven afectados. Pero, ¿cuántas organizaciones ejecutan Jira Server o Jira Data Center y son vulnerables a este ataque?

Decenas de miles de servidores potencialmente afectados

Con datos de Shodan.io, identificamos aproximadamente 50.000 posibles instancias de Jira. De ellas, nuestra investigación posterior confirmó que poco más de 30.000 eran instancias de Jira accesibles con números de versión. Y de ellos, solo 63 tenían versiones que estaban a salvo de CVE-2019-11581.

Por lo tanto, al día siguiente del aviso, la gran mayoría de las instancias de Jira Server accesibles a través de Internet tenían versiones vulnerables. Sería bueno mostrar un gráfico que compare las versiones con parches y sin parches, pero hay tan pocos casos seguros que no son visibles para el ojo humano. En su lugar, aquí hay un gráfico de las diez versiones más comunes de Jira Server en la población encuestada, ninguna de las cuales está en la lista de versiones fijas de Jira Server.

Exportamos estos datos poco después de que se publicara el aviso. Desde entonces, los administradores han seguido tomando medidas para remediar sus vulnerabilidades, y cada día debería haber menos casos vulnerables. Sin embargo, una evaluación inicial de la prevalencia de este riesgo muestra que decenas de miles de casos son potencialmente vulnerables, y que la aplicación de parches ha estado lejos de ser universal.

Debido a que la vulnerabilidad explota el "Formulario de contacto con administradores" para la inyección de plantillas, Atlassian también publicó una guía sobre una solución alternativa para deshabilitar este formulario. Algunos de los servidores que no se han actualizado se han protegido mediante esta solución alternativa. Sin embargo, al verificar manualmente los sitios que parecían tener versiones vulnerables, generalmente no habían sido parcheados desde nuestra recopilación inicial de datos y no habían implementado evidencia de controles compensatorios. El único sitio web en el que la versión había cambiado desde nuestra recopilación inicial de datos era uno que pertenecía a la NASA. ¡Buen trabajo NASA! Pero en la gran mayoría de los casos no había evidencia de que los propietarios hubieran actualizado a una versión segura.

Además, los usuarios podían desactivar el "Formulario de contacto con administradores". Una vez más, al verificar manualmente sitios aleatorios, solo se vio uno que tenía un aviso de que esto había sido deshabilitado.

La distribución geográfica de los servidores con versiones vulnerables es similar a la distribución de los sistemas informáticos en todo el mundo. La mayoría están en Estados Unidos, pero se detectaron servidores vulnerables en 134 países diferentes. Básicamente, es probable que todas las naciones con una economía digital tengan servidores Jira que podrían verse afectados por esta vulnerabilidad.

Los nombres de host de Jira Servers pueden proporcionar información sobre los tipos de organizaciones afectadas. De los servidores con versiones vulnerables, 69 incluyeron .gov en la URL. Esos servidores estaban alojados en 16 países diferentes, lo que creaba un riesgo potencial para muchas funciones gubernamentales.

Por muchos servidores vulnerables que haya hoy en día, debería haber menos mañana y menos pasado mañana. Dicho esto, todavía hay muchos servidores de Jira potencialmente vulnerables, y la protección contra la pérdida de datos debido a esta vulnerabilidad requiere saber si su organización tiene una instancia vulnerable y si sus proveedores están ejecutando servidores de Jira sin parches.

Ponte en contacto con nosotros si quieres comprobar si hay esta vulnerabilidad en las ediciones de Jira Server o Jira Data Center.