Lỗ hổng CVE-2025-22167 trong Jira cho phép ghi file tùy ý trên máy chủ

[WhiteHat Team]

Atlassian vừa phát hành bản vá cho một lỗ hổng nghiêm trọng trong Jira Software và Jira Service Management, ảnh hưởng đến cả bản Data Center và Server. Lỗ hổng, được định danh CVE-2025-22167, cho phép kẻ tấn công ghi dữ liệu tùy ý lên hệ thống tệp của máy chủ, tiềm ẩn nguy cơ gây hỏng dữ liệu hoặc dẫn đến thực thi mã từ xa nếu được kết hợp với các khai thác khác.

Theo khuyến cáo từ Atlassian, lỗ hổng có điểm CVSS 8.7, bắt nguồn từ lỗi Path Traversal (truy cập đường dẫn). Đây là dạng lỗ hổng cho phép kẻ tấn công lợi dụng các thao tác xử lý đường dẫn của ứng dụng để truy cập ra ngoài phạm vi thư mục được phép. Trong trường hợp của Jira, lỗi này cho phép ghi đè hoặc tạo file tại bất kỳ vị trí nào mà tiến trình JVM của Jira có quyền ghi. Điều này mở ra nhiều kịch bản hậu khai thác, từ thay đổi cấu hình hệ thống cho đến chiếm quyền điều khiển máy chủ.

CVE-2025-22167 này ảnh hưởng đến nhiều phiên bản Jira hiện đang được sử dụng rộng rãi trong doanh nghiệp:

• Jira Software Data Center và Server: bị ảnh hưởng từ phiên bản 9.12.0 đến 11.0.0, được khắc phục trong các bản 9.12.28 trở lên, 10.3.12 trở lên và 11.1.0 trở lên.
• Jira Service Management Data Center và Server: bị ảnh hưởng từ phiên bản 5.12.0 đến 10.3.0, được khắc phục trong các bản 5.12.29 trở lên và 10.3.12 trở lên.

Atlassian xác nhận rằng việc khai thác có thể được thực hiện từ xa nếu kẻ tấn công có quyền truy cập mạng đến giao diện web của Jira. Khi đó, chúng có thể ghi dữ liệu độc hại vào bất kỳ thư mục nào mà tiến trình Jira có quyền ghi, mở đường cho các hành vi leo thang đặc quyền hoặc cài mã độc.

Hãng khuyến nghị người dùng ngay lập tức nâng cấp lên các phiên bản được vá hoặc mới hơn để giảm thiểu rủi ro. Trong trường hợp chưa thể cập nhật lên bản mới nhất, quản trị viên cần áp dụng các bản vá tạm thời tương ứng với phiên bản Jira đang triển khai, đồng thời hạn chế quyền ghi của tiến trình JVM để giảm tác động nếu bị khai thác.

Theo Security Online​