來自國外的開發(fā)者Avinash Jain在8月2日時發(fā)表了一篇文章，揭露全球范圍內(nèi)使用非常廣泛的問題跟蹤軟件JIRA由于錯誤的配置導(dǎo)致成千上萬的公司
來自國外的開發(fā)者Avinash Jain在8月2日時發(fā)表了一篇文章，揭露全球范圍內(nèi)使用非常廣泛的問題跟蹤軟件JIRA由于錯誤的配置導(dǎo)致成千上萬的公司泄露了內(nèi)部的員工以及項目數(shù)據(jù)的問題。Jain同時提供了如何去找出這些存在漏洞的JIRA系統(tǒng)的方法。
以下是Jain文章的內(nèi)容：
幾個月前，我發(fā)表了一篇關(guān)于“JIRA泄露NASA員工和項目數(shù)據(jù)”的文章，我能夠在這些泄露的數(shù)據(jù)中找到NASA員工的詳細(xì)信息，包括用戶名、電子郵件、ID以及他們的內(nèi)部項目詳細(xì)信息。他們用的就是Atlassian的JIRA工具-一個獨(dú)立任務(wù)跟蹤系統(tǒng)/項目管理軟件，全球約有135,000家公司和組織在使用。而這次數(shù)據(jù)泄漏的根本原因是JIRA中存在的瘋狂錯誤配置。為什么使用“狂野”一詞，是因為如果你的公司也在使用相同的錯誤配置，那么我也可以訪問你們內(nèi)部的用戶數(shù)據(jù)和內(nèi)部項目詳細(xì)信息。
受影響的客戶包括NASA，谷歌，雅虎，Go-Jek，HipChat，Zendesk，Sapient，Dubsmash，西聯(lián)匯款，聯(lián)想，1password，Informatica等公司，以及世界各地政府的許多部門也遭受同樣的影響，如歐洲政府，聯(lián)合國，美國航天局，巴西政府運(yùn)輸門戶網(wǎng)站，加拿大政府財政門戶網(wǎng)站之一等。
接下來我將分享我在Jira(Atlassian任務(wù)跟蹤系統(tǒng)/項目管理軟件)中發(fā)現(xiàn)的那個關(guān)鍵漏洞，或者更具體地說是導(dǎo)致組織和公司內(nèi)部敏感信息泄露的錯誤配置問題。
讓我們看看究竟是什么問題!
在JIRA中創(chuàng)建過濾器或儀表板時，它提供了一些可見性選項。問題是由于分配給它們的權(quán)限錯誤。當(dāng)在JIRA中創(chuàng)建項目/問題的過濾器和儀表板時，默認(rèn)情況下，可見性分別設(shè)置為“所有用戶”和“所有人”，而不是與組織中的每個人共享，所以這些信息被完全公開了。JIRA中還有一個用戶選擇器功能，它提供了每個用戶的用戶名和電子郵件地址的完整列表。此信息泄露是JIRA全局權(quán)限設(shè)置中授權(quán)配置錯誤的結(jié)果。由于權(quán)限方案錯誤，以下內(nèi)部信息容易受到攻擊：
所有賬號的雇員姓名和郵箱地址
雇員的角色
項目信息、里程碑等
任何擁有該系統(tǒng)鏈接的人都可以從任何地方訪問它們并獲取各種敏感信息，由于這些鏈接可能被所有搜索引擎編入索引，因此任何人都可以通過一些簡單的搜索查詢輕松找到它們。
來看看一些泄露的數(shù)據(jù)：
1.NASA員工數(shù)據(jù)
2. JIRA過濾器公開訪問
3. NASA項目詳情
如上所示，由于這些配置錯誤的JIRA設(shè)置，它會公開員工姓名，員工角色，即將到來的里程碑，秘密項目以及各種其他信息。
現(xiàn)在，我來介紹一下如何通過來自“Google dorks”(搜索查詢)找到這些公開曝光的用戶選擇器功能、過濾器以及許多公司的儀表板的鏈接/URL。
我通過Google的搜索如下：
inurl:/UserPickerBrowser.jspa-intitle:Login-intitle:Log
然后結(jié)果就出來了：
此查詢列出了其URI中具有“UserPickerBrowser”的所有URL，以查找公開而且不需要經(jīng)過身份驗證的所有配置錯誤的JIRA用戶選擇器功能。
谷歌收購Apigee員工數(shù)據(jù)公開曝光
Go-jek員工數(shù)據(jù)公開曝光
還有前面提到的NASA泄露的數(shù)據(jù)。
對于過濾器和儀表板，我們可以看到這些過濾器和儀表板的URL包含“Managefilters”和“ConfigurePortal”作為一部分。我繼續(xù)創(chuàng)建搜索查詢
inurl:/ManageFilters.jspa?filterView=popularAND(intext:AllusersORintext:SharedwiththepublicORintext:Public)
此查詢列出了所有在其URI中具有“Managefilters”并且文本為“Public”的URL，以便找到所有公開暴露且未經(jīng)過身份驗證的錯誤配置的JIRA過濾器。
結(jié)果如下：
inurl:/ConfigurePortalPages!default.jspa?view=popular
此查詢列出其URI中具有“ConfigurePortalPages”的所有URL，以查找公開公開的所有JIRA儀表板。
在進(jìn)一步偵察(信息收集)時，我發(fā)現(xiàn)各公司都有“company.atlassian.net”格式的JIRA URL，因此如果您想檢查任何配置錯誤的過濾器，儀表板或用戶選擇器功能的公司，您需要只需將他們的名字放在URL中
https://companyname.atlassian.net/secure/popups/UserPickerBrowser.jspa
https://companyname.atlassian.net/secure/ManageFilters.jspa?filterView=popular
https://companyname.atlassian.net/secure/ConfigurePortalPages!default.jspa?view=popular
數(shù)以千計的公司過濾器，儀表板和員工數(shù)據(jù)被公開曝光。這是因為設(shè)置為過濾器和儀表板的錯誤權(quán)限方案因此甚至提供了對未登錄用戶的訪問權(quán)限，從而導(dǎo)致敏感數(shù)據(jù)泄漏。我在數(shù)百家公司中發(fā)現(xiàn)了幾個錯誤配置的JIRA帳戶。一些公司來自Alexa和Fortune的頂級名單，包括像NASA，谷歌，雅虎等大型巨頭和政府網(wǎng)站，以及巴西政府對Jira過濾器錯誤配置了他們的道路和運(yùn)輸系統(tǒng)，因此暴露了他們的一些項目細(xì)節(jié)，員工姓名等，這些都是在與他們聯(lián)系后修復(fù)的。
同樣，聯(lián)合國意外地將他們的Jira過濾器和Jira儀表板公開，因此暴露了他們的內(nèi)部項目細(xì)節(jié)，秘密里程碑等，在我報告之后由他們修復(fù)并且在他們的名人堂名單中得到獎勵。
當(dāng)他們的商業(yè)金融軟件系統(tǒng)和解決方案具有相同的Jira錯誤配置并暴露其內(nèi)部敏感項目和員工細(xì)節(jié)時，甚至歐洲政府也遭受了同樣的風(fēng)險。在我向他們發(fā)送報告后，他們也對其進(jìn)行了修復(fù)，并在其名人堂名單中得到了認(rèn)可。
這些公開可用的過濾器和儀表板提供了詳細(xì)信息，例如員工角色，員工姓名，郵件ID，即將到來的里程碑，秘密項目和功能。而用戶選擇器功能公開了內(nèi)部用戶數(shù)據(jù)。競爭對手公司有用的信息，可以了解其競爭對手正在進(jìn)行的即將到來的里程碑或秘密項目的類型。即使是攻擊者也可以從中獲取一些信息并將其與其他類型的攻擊聯(lián)系起來。顯然，它不應(yīng)該是公開的，這不是安全問題，而是隱私問題。
我向不同的公司報告了這個問題，一些人給了我一些獎勵，一些人修復(fù)了它，而另一些人仍在使用它。雖然這是一個錯誤配置問題，Atlassian(JIRA)必須處理并更明確地明確“任何登錄用戶”的含義，無論是JIRA的任何登錄用戶還是僅登錄屬于特定JIRA公司帳戶的用戶。（紅薯）
關(guān)鍵詞： JIRA 配置錯誤 數(shù)據(jù)泄露
