본 포스팅은 학습 목적으로 작성되었으며, hackerone report를 기반으로 작성되었습니다.
분석 레포트
https://hackerone.com/reports/2467999
Mozilla disclosed on HackerOne: Jira Credential Disclosure within...
hackerone.com
Summary
Mozilla의 직원이 게시한 ... Slack 채널에 공개된 Jira 관리자 API 키를 찾을 수 있었다.
Steps To Reproduce
1. [xxx] 파일로 이동한다.
2. Python 스크립트의 310 ~ 312 줄에서 노출된 자격증명을 관찰한다.
3. 다음 CURL 요청으로 그룹을 확인한다.
curl -u "██████:ATATT3xFfGF0V99l_█████████551CCC5D" -H "Content-Type: application/json" https://mozilla-hub.atlassian.net/rest/api/3/user/groups?accountId=████████
4. 사용자가 Jira 관리자, 관리자 및 Jira Service Desk 사용자 등임을 보여주는 다음 출력을 관찰한다.
[{"name":"jira-servicedesk-users","groupId":"███","self":"███████:"jira-administrators","groupId":"████████","self":██████:"jira-software-users","groupId":"███","self":██████████:"jira-servicemanagement-customers-mozilla-hub","groupId":"██████████","self":███:"site-admins","groupId":"████████","self":██████:"administrators","groupId":"██████████","self":██████:"Managers","groupId":"█████","self":██████"}]
Impact
관리자 API 자격 증명은 모든 프로젝트, 사용자 계정, 구성 및 Jira에 저장된 기타 중요한 데이터에 액세스 권한을 부여할 수 있는 상승된 권한을 제공한다.
참고