De qué se trata

Bamboo ist ein Werkzeug zur kontinuierlichen Integration und Bereitstellung, das automatisierte Builds, Tests und Freigaben in einem einzigen Arbeitsablauf verbindet. Bitbucket ist ein Git-Server zur Sourcecode-Versionskontrolle. Confluence ist eine kommerzielle Wiki-Software. Fisheye ist ein Quellcode-Repository-Browser für Unternehmensteams. Crucible ist eine Code-Review-Lösung für Unternehmensteams. Jira ist eine Webanwendung zur Softwareentwicklung. Ein Angreifer kann mehrere Schwachstellen in Atlassian Bamboo, Bitbucket, Confluence, Fisheye/Crucible, Jira Software und Jira Service Management ausnutzen, um beliebigen Programmcode auszuführen, Sicherheitsmaßnahmen zu umgehen, serverseitige Request-Forgery-Angriffe (SSRF) durchzuführen, Cross-Site-Scripting-Angriffe zu starten, sensible Informationen offenzulegen, Daten zu manipulieren oder Denial-of-Service-Zustände herbeizuführen.

¿En qué condiciones?

El BSI no indica requisitos especiales. Explotable a distancia según el BSI.

Lo que puede pasar en el peor de los casos

Un atacante podría aprovechar la vulnerabilidad para

• beliebigen Programmcode auszuführen
• Sicherheitsmaßnahmen zu umgehen
• serverseitige Request-Forgery-Angriffe (SSRF) durchzuführen
• Cross-Site-Scripting-Angriffe zu starten
• sensible Informationen offenzulegen
• Daten zu manipulieren oder Denial-of-Service-Zustände herbeizuführen

¿Me afecta?

Afectados según el BSI:

• Red Hat Enterprise Linux
• Atlassian Bamboo Data Center LTS <12.1.11
• Atlassian Bamboo Data Center LTS <10.2.23
• Atlassian Bitbucket Data Center <10.4.2
• Atlassian Bitbucket Data Center <10.4.3
• Atlassian Bitbucket Data Center LTS <10.2.6
• Atlassian Bitbucket Data Center LTS <10.2.7
• Atlassian Bitbucket Data Center LTS <9.4.24
• Atlassian Confluence Data Center LTS <10.2.17
• Atlassian Confluence Data Center LTS <10.2.18
• Atlassian Confluence Data Center LTS <9.2.24
• Atlassian Confluence Data Center LTS <9.2.25

y 6 más

La versión instalada suele aparecer en «Ayuda → Acerca de» o en la interfaz de administración del dispositivo.

¿Qué ayuda?

Actualizar como mínimo a:

• Atlassian Bamboo Data Center LTS 12.1.11
• Atlassian Bamboo Data Center LTS 10.2.23
• Atlassian Bitbucket Data Center 10.4.2
• Atlassian Bitbucket Data Center 10.4.3
• Atlassian Bitbucket Data Center LTS 10.2.6
• Atlassian Bitbucket Data Center LTS 10.2.7
• Atlassian Bitbucket Data Center LTS 9.4.24
• Atlassian Confluence Data Center LTS 10.2.17
• Atlassian Confluence Data Center LTS 10.2.18
• Atlassian Confluence Data Center LTS 9.2.24
• Atlassian Confluence Data Center LTS 9.2.25
• Atlassian Fisheye 4.9.14

¿Se está explotando ya la vulnerabilidad?

Ninguna de las CVE figura en el catálogo de la CISA de vulnerabilidades explotadas. No significa que no haya ataques, solo que no hay ninguno documentado.