• IT-Karriere:
  • Services:

Atlassian: Sicherheitsprobleme bei Hipchat und im Confluence-Wiki

Für Confluence-Admins könnte es ein arbeitsreicher Tag werden: Hipchat-Nutzer sollen ihre Passwörter zurücksetzen und die Wiki-Software des Unternehmens braucht ein Update. Ansonsten können Angreifer alle Seiten des Wikis ohne Autorisierung einsehen.

Artikel veröffentlicht am ,
Wer das Confluence-Wiki nutzt, sollte patchen.
Wer das Confluence-Wiki nutzt, sollte patchen. (Bild: Atlassian)

Bei Atlassian ist es in den vergangenen Tagen offenbar zu mehreren Sicherheitsvorfällen gekommen. Alle Nutzer der Slack-Alternative Hipchat wurden aufgefordert, ein neues Passwort zu vergeben. Außerdem hat Atlassian Sicherheitslücken in der eigenen Wiki-Software Confluence gepatcht.

Stellenmarkt
  1. Deutsches Institut für Bautechnik, Berlin
  2. Bechtle Onsite Services GmbH, Salzgitter

Über den Hipchat-Sicherheitsvorfall teilt das Unternehmen nur wenig mit. In der Golem.de vorliegenden Mail schreibt Ganesh Kishnan, Chief Security Officer von Atlassian: "An diesem Wochenende hat unser Security-Intelligence-Team einen Vorfall entdeckt, der Hipchat.com betrifft und der zu einem unautorisierten Zugriff auf Nutzerdaten geführt haben könnte." Zu den potenziell betroffenen Informationen würden Nutzernamen, E-Mail-Adressen und gehashte Passwörter gehören. Hipchat nutzt für die Passwörter nach eigenen Angaben das als sicher geltende Hashverfahren Bcrypt und zusätzlich zufällige Salts.

In der nachfolgenden Untersuchung habe man keine Hinweise für Zugriff auf Finanz- oder Kreditkarteninformationen gefunden. Auch andere Produkte von Atlassian sollen von dem Vorfall nicht betroffen gewesen sein.

Sicherheitslücke in der Wiki-Software

Confluence hat außerdem ein Update für die Confluence-Wiki-Software freigegeben. Die Sicherheitslücke mit der CVE-2017-7415 betrifft alle Versionen seit 6.0.0. Nicht betroffen sind die Versionen 6.0.7 und 6.1.0. Ohne den Patch sollen Angreifer in der Lage sein, ohne Autorisierung alle Inhalte des Wikis einzusehen. Dazu müssen nur verschiedene IDs einzelner Seiten oder Drafts ausprobiert werden. Der Fehler lag in der Funktion Drafts Diff. Wer Atlassians Cloud-Dienste nutzt, muss nichts weiter tun, dort trat der Fehler nach Angaben des Herstellers nicht auf.

Wer derzeit kein Update auf die aktuelle Version durchführen kann, sollte zumindest die Funktion "Kollaboratives Bearbeiten" deaktivieren. Confluence hat dazu eine Anleitung veröffentlicht.

Bitte aktivieren Sie Javascript.
Oder nutzen Sie das Golem-pur-Angebot
und lesen Golem.de
  • ohne Werbung
  • mit ausgeschaltetem Javascript
  • mit RSS-Volltext-Feed


Anzeige
Top-Angebote
  1. 11,85€ (Bestpreis!)
  2. 9,77€ (Bestpreis!)
  3. 321,61€ (mit Rabattcode "POWERSPAREN20" - Bestpreis!)
  4. 92,99€ (Bestpreis!)

Apfelbrot 26. Apr 2017

Bei uns bisher nur einmal weil der Chef der IT dachte er müsse mitten am Tag mal ganz...

Bluejanis 25. Apr 2017

Gut. Danke


Folgen Sie uns
       


Viewsonic M2 - Test

Der kleine LED-Projektor eignet sich für Präsentationen und als flexibles Kino für unterwegs.

Viewsonic M2 - Test Video aufrufen
Ausprobiert: Meine erste Strafgebühr bei Free Now
Ausprobiert
Meine erste Strafgebühr bei Free Now

Storniert habe ich bei Free Now noch nie. Doch diesmal wurde meine Geduld hart auf die Probe gestellt.
Ein Praxistest von Achim Sawall

  1. Gesetzentwurf Weitergabepflicht für Mobilitätsdaten geplant
  2. Personenbeförderung Taxibranche und Uber kritisieren Reformpläne

iPad Air 2020 im Test: Apples gute Alternative zum iPad Pro
iPad Air 2020 im Test
Apples gute Alternative zum iPad Pro

Das neue iPad Air sieht aus wie ein iPad Pro, unterstützt dasselbe Zubehör, kommt mit einem guten Display und reichlich Rechenleistung. Damit ist es eine ideale Alternative für Apples teuerstes Tablet, wie unser Test zeigt.
Ein Test von Tobias Költzsch

  1. Tablet Apple stellt neues iPad und iPad Air vor

The Secret of Monkey Island: Ich bin ein übelriechender, groggurgelnder Pirat!
The Secret of Monkey Island
"Ich bin ein übelriechender, groggurgelnder Pirat!"

Das wunderbare The Secret of Monkey Island feiert seinen 30. Geburtstag. Golem.de hat einen neuen Durchgang gewagt - und wüst geschimpft.
Von Benedikt Plass-Fleßenkämper


      •  /