Worum es geht

Bamboo ist ein Werkzeug zur kontinuierlichen Integration und Bereitstellung, das automatisierte Builds, Tests und Freigaben in einem einzigen Arbeitsablauf verbindet. Bitbucket ist ein Git-Server zur Sourcecode-Versionskontrolle. Confluence ist eine kommerzielle Wiki-Software. Fisheye ist ein Quellcode-Repository-Browser für Unternehmensteams. Crucible ist eine Code-Review-Lösung für Unternehmensteams. Jira ist eine Webanwendung zur Softwareentwicklung. Ein Angreifer kann mehrere Schwachstellen in Atlassian Bamboo, Bitbucket, Confluence, Fisheye, Crucible, Jira und Jira Service Management ausnutzen, um beliebigen Code auszuführen, erweiterte Berechtigungen zu erlangen, Sicherheitsmaßnahmen zu umgehen, Daten zu manipulieren, vertrauliche Informationen offenzulegen oder einen Denial-of-Service-Zustand auszulösen.

Unter welchen Bedingungen?

Das BSI nennt keine besonderen Voraussetzungen. Laut BSI aus der Ferne ausnutzbar.

Was schlimmstenfalls passieren kann

Ein Angreifer könnte die Lücke nutzen, um

• beliebigen Code auszuführen
• erweiterte Berechtigungen zu erlangen
• Sicherheitsmaßnahmen zu umgehen
• Daten zu manipulieren
• vertrauliche Informationen offenzulegen oder einen Denial-of-Service-Zustand auszulösen

Bin ich betroffen?

Betroffen sind laut BSI:

• Red Hat Enterprise Linux
• Oracle Linux
• Atlassian Bamboo LTS <12.1.9
• Atlassian Bamboo LTS <10.2.21
• Atlassian Bitbucket LTS <10.3.2
• Atlassian Bitbucket LTS <9.4.22
• Atlassian Confluence LTS <10.2.14
• Atlassian Confluence LTS <9.2.22
• Atlassian Fisheye <4.9.12
• Atlassian Crucible <4.9.12
• Atlassian Jira LTS <11.3.8
• Atlassian Jira LTS <10.3.23

und 1 weitere

Die installierte Version steht meist unter „Hilfe → Über“ oder in der Verwaltungsoberfläche des Geräts.

Was hilft?

Aktualisieren auf mindestens:

• Atlassian Bamboo LTS 12.1.9
• Atlassian Bamboo LTS 10.2.21
• Atlassian Bitbucket LTS 10.3.2
• Atlassian Bitbucket LTS 9.4.22
• Atlassian Confluence LTS 10.2.14
• Atlassian Confluence LTS 9.2.22
• Atlassian Fisheye 4.9.12
• Atlassian Crucible 4.9.12
• Atlassian Jira LTS 11.3.8
• Atlassian Jira LTS 10.3.23
• Dell Secure Connect Gateway 5.36.00.16

Wird die Lücke schon ausgenutzt?

Keine der CVEs steht im CISA-Katalog ausgenutzter Lücken. Das heißt nicht, dass es keine Angriffe gibt, nur dass keine belegt sind.