Un dangereux bogue dans Atlassian Confluence permet aux attaquants de voler des données. Les pirates informatiques travaillent activement sur le sujet, mais il existe déjà un correctif.
L’application Questions for Confluence contient un mot de passe codé en dur qui a été divulgué. Avec ce mot de passe, les attaquants peuvent accéder aux données des plate-formes Confluence Server on-premises et Confluence Data Center. Le mot de passe a été rendu public la semaine dernière. Atlassian a rapidement publié un correctif, mais les attaquants ont été tout aussi rapides à exploiter le mot de passe divulgué.
Si vous utilisez Questions for Confluence, ne perdez pas de temps à installer le correctif. Vous pouvez également désactiver l’application. Cela peut être gênant pour les organisations qui dépendent de l’application. Certes, Confluence lui-même est utilisé dans le monde entier pour stocker et gérer les données des projets. Pour les pirates, c’est un gros coup.
Eigen schuld
Il est incompréhensible et inexcusable qu’Atlassian utilise des mots de passe codés en dur. Cela est dangereux dans n’importe quel contexte. De plus, ce n’est jamais nécessaire, même si c’est facile. Aujourd’hui, le code est souvent complexe, ce qui rend les bogues inévitables. Ce bogue en question n’en est pas un exemple. La fuite dans Questions pour Confluence est la faute d’Atlassian qui, contre son meilleur jugement, a choisi la commodité plutôt que la sécurité, avec toutes les conséquences prévisibles.