Lỗ hổng Atlassian nhấn mạnh nguy cơ an ninh đối với dịch vụ đám mây

[Ginny Hà]

Hai lỗ hổng trong Atlassian Jira Align, một công cụ SaaS lập kế hoạch linh hoạt, cho phép user nâng quyền lên quản trị viên ứng dụng, từ đó tấn công dịch vụ Atlassian.

Theo công ty dịch vụ an ninh mạng Bishop Fox, các lỗ hổng điển hình cho các rủi ro đối với các dịch vụ đám mây bởi chúng khá phổ biến, nhưng thường khó phát hiện.

Hai lỗ hổng Bishop Fox phát hiện ảnh hưởng đến ứng dụng Jira Align. Đây là ứng dụng để đặt các mục tiêu phát triển linh hoạt, theo dõi việc thực hiện các mục tiêu và tạo các chiến lược linh hoạt. Vì mọi phiên bản của Jira Align đều được cung cấp bởi Atlassian, hacker có thể giành quyền kiểm soát một phần cơ sở hạ tầng đám mây của hãng.

Lỗ hổng thứ nhất là vấn đề SSRF (server-side request forgery), cho phép người dùng truy xuất "thông tin đăng nhập AWS của tài khoản dịch vụ Atlassian đã cung cấp phiên bản Jira Align", theo Bishop Fox.

Lỗ hổng thứ hai tồn tại trong cơ chế cấp quyền cho người dùng với vai trò People - cho phép người dùng đó nâng vai trò lên Quản trị viên cấp cao, có quyền truy cập vào tất cả các cài đặt cho người thuê Jira Align, chẳng hạn như đặt lại tài khoản và sửa đổi cài đặt.

Jake Shafer, chuyên gia tư vấn an ninh của Bishop Fox và là người đã tìm ra lỗ hổng cho biết, sự kết hợp của hai lỗ hổng này có thể tạo ra một cuộc tấn công “ghê gớm”.

"Lợi dụng vấn đề về cấp quyền sẽ cho phép người dùng có đặc quyền thấp nâng quyền lên cấp quản trị viên. Về mặt an ninh, sẽ cho phép hacker có quyền truy cập vào mọi thứ mà khách hàng của SaaS có trong quá trình triển khai Jira của họ", ông cho biết. "Từ đó, kẻ tấn công có thể lợi dụng vấn đề SSRF để nhắm vào cơ sở hạ tầng của chính Atlassian".

Cả hai lỗ hổng đều đã được vá: vấn đề đầu tiên trong vòng một tuần và vấn đề thứ hai trong vòng một tháng.

Tuy nhiên, các công ty cần lưu ý rằng sự phụ thuộc ngày càng nhiều vào các ứng dụng đám mây đã khiến các cuộc tấn công vào dịch vụ này ngày càng phổ biến.

Hơn nữa, các vấn đề về cấp quyền rất khó để các công cụ tự động xác định chính xác. Thêm vào đó, SSRF là một lớp lỗ hổng tương đối mới, sử dụng chức năng và máy chủ của dịch vụ đám mây để thực hiện các cuộc tấn công, thường bỏ qua cơ chế an ninh ở biên mạng cũng như một số biện pháp an ninh nội bộ.

Phần mềm Jira của Atlassian từng phải đối phó với các trường hợp SSRF khác. Tuy nhiên, hãng không phải nạn nhân duy nhất. Vào năm 2019, hacker đã lợi dụng lỗ hổng SSRF để đánh cắp dữ liệu từ công ty tài chính Capital One.

Cách khắc phục

Các dịch vụ đám mây trở thành một phần hoạt động của đại đa số các công ty, do đó việc khắc phục các lỗ hổng nghiêm trọng trên đám mây là rất quan trọng, Shafer cho biết.

“Với mức độ phổ biến của việc tích hợp các ứng dụng SaaS này trong hoạt động hàng ngày của các công ty lớn và nhỏ, điều quan trọng cần nhớ là ngay cả những công ty lâu đời này cũng có thể mắc sai lầm. Có thể tin tưởng nhưng hãy xác minh tất cả phần mềm mới mà bạn sử dụng, kể cả những thứ tích hợp sẵn".

Shafer cho biết, những lỗ hổng mới phát hiện càng cho thấy các nhà phát triển phải luôn đảm bảo kiểm tra kỹ nội dung do người dùng cung cấp trước khi hoàn thành một truy vấn. Kiểm tra tính sạch đầu vào có thể giúp ngăn chặn cả hai cuộc tấn công.

“Bạn đang cho phép khách hàng vào cơ sở hạ tầng đám mây của mình, họ có thể trả phí cho dịch vụ nhưng lúc nào đó họ cũng có thể trở thành một kẻ tấn công tiềm năng”, Shafer cho biết.

Các công ty nên đảm bảo kiểm tra thủ công các ứng dụng của bên thứ ba hoặc liên hệ với nhà cung cấp dịch vụ đám mây và kiểm tra kết quả đánh giá an ninh của họ. Thật không may, các công cụ tự động không quá hiệu quả trong việc phát hiện các vấn đề về cấp quyền, Shafer nói.

Nguồn: Dark Reading​