De qué se trata

Bamboo ist ein Werkzeug zur kontinuierlichen Integration und Bereitstellung, das automatisierte Builds, Tests und Freigaben in einem einzigen Arbeitsablauf verbindet. Bitbucket ist ein Git-Server zur Sourcecode-Versionskontrolle. Confluence ist eine kommerzielle Wiki-Software. Crucible ist eine Code-Review-Lösung für Unternehmensteams. Fisheye ist ein Quellcode-Repository-Browser für Unternehmensteams. Jira ist eine Webanwendung zur Softwareentwicklung. Ein Angreifer kann mehrere Schwachstellen in Atlassian Bamboo, Bitbucket, Confluence, Crucible, Fisheye und Jira ausnutzen, um Daten zu manipulieren, um seine Privilegien zu erhöhen, um einen Denial of Service Angriff durchzuführen, um Informationen offenzulegen, um einen Cross-Site Scripting Angriff durchzuführen, um Sicherheitsvorkehrungen zu umgehen und um beliebigen Programmcode auszuführen.

¿En qué condiciones?

El BSI no indica requisitos especiales. Explotable a distancia según el BSI.

Lo que puede pasar en el peor de los casos

Un atacante podría aprovechar la vulnerabilidad para

• Daten zu manipulieren
• seine Privilegien zu erhöhen
• einen Denial of Service Angriff durchzuführen
• Informationen offenzulegen
• einen Cross-Site Scripting Angriff durchzuführen
• Sicherheitsvorkehrungen zu umgehen
• beliebigen Programmcode auszuführen

¿Me afecta?

Afectados según el BSI:

• Red Hat Enterprise Linux
• RESF Rocky Linux
• Atlassian Bamboo LTS <12.1.12
• Atlassian Bamboo LTS <10.2.24
• Atlassian Bitbucket <10.5.1
• Atlassian Bitbucket LTS <10.2.8
• Atlassian Bitbucket LTS <9.4.26
• Atlassian Confluence <11.0.0
• Atlassian Confluence LTS <10.2.19
• Atlassian Confluence LTS <9.2.26
• Atlassian Crucible <4.9.15
• Atlassian Fisheye <4.9.15

y 2 más

La versión instalada suele aparecer en «Ayuda → Acerca de» o en la interfaz de administración del dispositivo.

¿Qué ayuda?

Actualizar como mínimo a:

• Atlassian Bamboo LTS 12.1.12
• Atlassian Bamboo LTS 10.2.24
• Atlassian Bitbucket 10.5.1
• Atlassian Bitbucket LTS 10.2.8
• Atlassian Bitbucket LTS 9.4.26
• Atlassian Confluence 11.0.0
• Atlassian Confluence LTS 10.2.19
• Atlassian Confluence LTS 9.2.26
• Atlassian Crucible 4.9.15
• Atlassian Fisheye 4.9.15
• Atlassian Jira LTS 11.3.12
• Atlassian Jira LTS 10.3.26

¿Se está explotando ya la vulnerabilidad?

Ninguna de las CVE figura en el catálogo de la CISA de vulnerabilidades explotadas. No significa que no haya ataques, solo que no hay ninguno documentado.