Společnost Atlassian vydala bezpečnostní upozornění na zranitelnosti s prioritou High

Souhrn zranitelností: 

Produkt	Popis	Nalezeno ve verzích	Opraveno ve verzích
Bamboo Data Center a Server	Závažné chyby v knihovnách  org.apache.commons, aws-java-sdk-s3, nebo tomcat-coyote.	9.6.0 - 9.6.2 (LTS) 9.5.0 - 9.5.4 9.4.0 - 9.4.4 9.3.0 - 9.3.6 9.2.1 - 9.2.14 (LTS) 9.1.0 - 9.1.3 9.0.2 - 9.0.4	9.6.3 až 9.6.8 (LTS) nebo novější.
Bitbucket Data Center a Server	zranitelnosti DoS a problémy v knihovnách  hazelcast a spring-webmvc	9.3.0 - 9.3.1 8.19.0 - 8.19.11 (LTS) 8.18.0 - 8.18.1 8.17.0 - 8.17.2 8.16.0 - 8.16.4 8.15.0 - 8.15.5 8.14.0 - 8.14.6 8.13.0 - 8.13.6 8.12.0 - 8.12.6 8.11.0 - 8.11.6 8.10.0 - 8.10.6 8.9.0 - 8.9.21 (LTS) 8.8.0 - 8.8.7 8.7.0 - 8.7.5 8.6.2 - 8.6.4 8.5.2 - 8.5.4 8.4.3 - 8.4.4 8.3.4 7.21.8 - 7.21.23 (LTS)	9.4.0 (LTS) nebo novější
Confluence Data Center a Server	Problémy v knihovnách commons-compress, hazelcast a dalších	9.0.1 - 9.0.3 8.9.0 - 8.9.7 8.8.0 - 8.8.1 8.7.1 - 8.7.2 8.6.0 - 8.6.2 8.5.0 - 8.5.16 (LTS) 8.4.0 - 8.4.5 8.3.0 - 8.3.4 8.2.0 - 8.2.3 8.1.0 - 8.1.4 8.0.1 - 8.0.4 7.20.3 7.19.5 - 7.19.28 (LTS)	9.2.0 (LTS) nebo novější

---

Detail zranitelností

CVE-2022-31159 com.amazonaws:aws-java-sdk-s3 Dependency in Bamboo Data Center and Server

Zranitelnost:
Zranitelnost v knihovně com.amazonaws:aws-java-sdk-s3 byla identifikována ve verzích Bamboo Data Center a Server od verzí 9.0.0, 9.1.0 a 9.2.1. Jedná se o problém částečného traversal cest v metodě downloadDirectory komponenty AWS S3 TransferManager. Tato zranitelnost umožňuje útočníkovi obcházet validační logiku klíče a stahovat obsah mimo určený adresář.

Důsledky:

• Vliv na důvěrnost: vysoký
• Vliv na integritu: vysoký
• Vliv na dostupnost: nízký
• Zranitelnost vyžaduje interakci uživatele a autentizaci útočníka.

Popis od National Vulnerability Database:
AWS SDK pro Javu obsahuje chybu v metodě downloadDirectory komponenty AWS S3 TransferManager. Problém spočívá v nedostatečné validaci názvů klíčů, což může umožnit obcházení kontrolní logiky. Například použitím `..` v klíči S3 bucket může útočník získat přístup k nadřazenému adresáři určeného cílového adresáře.

Workaround:
Při použití downloadDirectory předejte parametr KeyFilter, který zakazuje `S3ObjectSummary` objekty, jejichž metoda getKey vrací řetězec obsahující `..` .

Oprava této chyby je zahrnuta ve verzi 1.12.261 knihovny AWS SDK pro Javu.

Další informace: NVD popis CVE-2022-31159.

Doporučení společnosti Atlassian:

1. Upgrade na nejnovější verzi Bamboo Data Center a Server.
2. Pokud není okamžitý upgrade možný, aktualizujte na opravenou verzi:
• Bamboo Data Center a Server 9.2: aktualizace na verzi 9.2.9 nebo vyšší.

Dotčené produkty

Produkt	Nalezeno ve verzích	Opraveno ve verzích
Bamboo Data Center	9.0.0, 9.0.1, 9.0.2, 9.0.3, 9.0.4, 9.1.0, 9.1.1, 9.1.2, 9.1.3, 9.2.1, 9.2.3, 9.2.4, 9.2.5, 9.2.6, 9.2.7, 9.2.8	9.2.9
Bamboo Server	9.0.0, 9.0.1, 9.0.2, 9.0.3, 9.0.4, 9.1.0, 9.1.1, 9.1.2, 9.1.3, 9.2.1, 9.2.3, 9.2.4, 9.2.5, 9.2.6, 9.2.7, 9.2.8	9.2.9

---

 

CVE-2024-47561 RCE (Remote Code Execution) org.apache.avro:avro Dependency in Bamboo Data Center and Server

 

Zranitelnost:
Tato zranitelnost typu RCE (Remote Code Execution) byla objevena v závislosti na knihovně org.apache.avro:avro ve verzích Bamboo Data Center a Server 9.2.1, 9.6.0 a 10.0.0-rc3.
Umožňuje neautentizovanému útočníkovi provádět vzdálené spuštění kódu s nízkým dopadem na důvěrnost, integritu i dostupnost. Nevyžaduje interakci uživatele.

Popis podle National Vulnerability Database:
Schema parsing v Java SDK Apache Avro (verze 1.11.3 a starší) umožňuje útočníkovi spustit libovolný kód. Doporučuje se upgrade na verzi 1.11.4 nebo 1.12.0, kde je tato chyba opravena.

Další informace: https://nvd.nist.gov/vuln/detail/CVE-2024-47561

Doporučení společnosti Atlassian:

1. Upgrade na nejnovější verzi Bamboo Data Center a Server.
2. Pokud není okamžitý upgrade možný, aktualizujte na některou z následujících opravených verzí:
• Bamboo Data Center a Server 9.2: Aktualizujte na verzi 9.2.20 nebo vyšší.
• Bamboo Data Center a Server 9.6: Aktualizujte na verzi 9.6.8 nebo vyšší.
• Bamboo Data Center a Server 10.0: Aktualizujte na verzi 10.0.3 nebo vyšší.

Dotčené produkty

Produkt	Nalezeno ve verzích	Opraveno ve verzích
Bamboo Data Center	9.2.1, 9.2.3, 9.2.4, 9.2.5, 9.2.6, 9.2.7, 9.2.8, 9.2.9, 9.2.10, 9.2.11, 9.2.12, 9.2.13, 9.2.14, 9.2.15, 9.2.16, 9.2.17, 9.2.18, 9.2.19, 9.6.0, 9.6.1, 9.6.2, 9.6.3, 9.6.4, 9.6.5, 9.6.6, 9.6.7, 10.0.0, 10.0.0-rc3, 10.0.0-rc5, 10.0.1, 10.0.2	9.2.20, 9.6.8, 10.0.3
Bamboo Server	9.2.1, 9.2.3, 9.2.4, 9.2.5, 9.2.6, 9.2.7, 9.2.8, 9.2.9, 9.2.10, 9.2.11, 9.2.12, 9.2.13, 9.2.14, 9.2.15, 9.2.16, 9.2.17, 9.2.18, 9.2.19, 9.6.0, 9.6.1, 9.6.2, 9.6.3, 9.6.4, 9.6.5, 9.6.6, 9.6.7, 10.0.0, 10.0.0-rc3, 10.0.0-rc5, 10.0.1, 10.0.2	9.2.20, 9.6.8, 10.0.3

---

 

CVE-2024-25710  

- org.apache.commons:commons-compress Dependency in Bamboo Data Center and Server¨

- org.apache.commons:commons-compress Dependency in Confluence Data Center and Server

Popis zranitelnosti:
Tato zranitelnost byla objevena v závislosti org.apache.commons:commons-compress ve verzích Bamboo Data Center a Server 9.0.0, 9.1.0, 9.2.1, 9.3.0, 9.4.0 a 9.5.0 a u verzí 7.14 aplikace Confluence Data Center a Server.
Umožňuje neautentizovanému útočníkovi vystavit vaše prostředí riziku zneužití, což má vysoký dopad na důvěrnost, integritu i dostupnost. Zranitelnost nevyžaduje žádnou uživatelskou interakci.

Popis podle National Vulnerability Database:
Zranitelnost typu "Nekonečná smyčka" v knihovně Apache Commons Compress ovlivňuje verze od 1.3 do 1.25.0.
Doporučuje se aktualizace na verzi 1.26.0, kde je tato chyba opravena.

Další informace https://nvd.nist.gov/vuln/detail/cve-2024-25710

Doporučení společnosti Atlassian:

1. Aktualizujte Bamboo Data Center a Server na nejnovější verzi.
2. Pokud není okamžitá aktualizace možná, proveďte upgrade na některou z následujících opravených verzí:

• Bamboo Data Center a Server 9.2: Verze 9.2.12 nebo vyšší.
• Bamboo Data Center a Server 9.4: Verze 9.4.4 nebo vyšší.
• Bamboo Data Center a Server 9.5: Verze 9.5.2 nebo vyšší.

• Confluence Data Center a Server 7.19: Verze 7.19.25 nebo vyšší.
• Confluence Data Center a Server 8.5: Verze 8.5.12 nebo vyšší.
• Confluence Data Center a Server 8.9: Verze 8.9.4 nebo vyšší.

Dotčené produkty

Produkt	Nalezeno ve verzích	Opraveno ve verzích
Bamboo Data Center	9.0.0, 9.0.1, 9.0.2, 9.0.3, 9.0.4, 9.1.0, 9.1.1, 9.1.2, 9.1.3, 9.2.1, 9.2.3, 9.2.4, 9.2.5, 9.2.6, 9.2.7, 9.2.8, 9.2.9, 9.2.10, 9.2.11, 9.3.0, 9.3.1, 9.3.2, 9.3.3, 9.3.4, 9.3.5, 9.3.6, 9.4.0, 9.4.1, 9.4.2, 9.4.3, 9.5.0, 9.5.1	9.2.12, 9.4.4, 9.5.2
Bamboo Server	9.0.0, 9.0.1, 9.0.2, 9.0.3, 9.0.4, 9.1.0, 9.1.1, 9.1.2, 9.1.3, 9.2.1, 9.2.3, 9.2.4, 9.2.5, 9.2.6, 9.2.7, 9.2.8, 9.2.9, 9.2.10, 9.2.11, 9.3.0, 9.3.1, 9.3.2, 9.3.3, 9.3.4, 9.3.5, 9.3.6, 9.4.0, 9.4.1, 9.4.2, 9.4.3, 9.5.0, 9.5.1	9.2.12, 9.4.4, 9.5.2
Confluence Data Center	7.14.0, 7.19.0, 7.20.0, 8.0.0, 8.1.0, 8.2.0, 8.3.0, 8.4.0, 8.5.0, 8.6.0, 8.7.1, 8.8.0, 8.9.0	7.19.25, 8.5.12, 8.9.4, 9.2.0
Confluence Server	7.14.0, 7.19.0, 7.20.0, 8.0.0, 8.1.0, 8.2.0, 8.3.0, 8.4.0, 8.5.0, 8.6.0, 8.7.1, 8.8.0, 8.9.0	7.19.25, 8.5.12, 8.9.4, 9.2.0

---

 

CVE-2023-46234 BASM (Broken Authentication & Session Management) browserify-sign Dependency in Confluence Data Center

Popis zranitelnosti:
Tato závažná zranitelnost BASM (Broken Authentication & Session Management) byla identifikována v závislosti browserify-sign u verze 7.11 aplikace Confluence Data Center.

Zranitelnost umožňuje neautentizovanému útočníkovi zneužít chybu v kryptografickém ověřování podpisů. To má vysoký dopad na integritu, nemá žádný dopad na důvěrnost ani dostupnost a nevyžaduje interakci uživatele.

Další informace: https://nvd.nist.gov/vuln/detail/CVE-2023-46234

Doporučení společnosti Atlassian:

1. Aktualizujte Confluence Data Center na nejnovější verzi.
2. Pokud není okamžitá aktualizace možná, proveďte upgrade na opravenou verzi Confluence Data Center 9.1: Verze 9.1.0 nebo vyšší.

Dotčené produkty

Produkt	Nalezeno ve verzích	Opraveno ve verzích
Confluence Data Center	7.11.0, 7.19.0, 7.20.0, 8.0.0, 8.1.0, 8.2.0, 8.3.0, 8.4.0, 8.5.0, 8.6.0, 8.7.1, 8.8.0, 8.9.0, 9.0.0, 9.1.0	7.19.29, 8.5.17, 8.9.8, 9.1.1

---

 

CVE-2022-46175 Prototype Pollution json5 Dependency in Confluence Data Center

Popis zranitelnosti:
zranitelnost „Prototype Pollution“  souvisí s json5 a byla nalezena v Confluence Data Center 5.9

Tato zranitelnost v závislosti na json5 umožňuje ověřenému útočníkovi odhalit zneužitelné prvky ve vašem prostředí, což může vést k:

• vysokému dopadu na důvěrnost,
• nízkému dopadu na integritu,
• vysokému dopadu na dostupnost.

Tato zranitelnost nevyžaduje interakci uživatele.

Další informace: https://nvd.nist.gov/vuln/detail/CVE-2022-46175

Doporučení společnosti Atlassian:

1. Aktualizujte Confluence Data Center na nejnovější verzi.
2. Pokud není okamžitá aktualizace možná, proveďte upgrade na opravenou verzi Confluence Data Center 9.1: Verze 9.1.0 nebo vyšší.

Dotčené produkty

Produkt	Nalezeno ve verzích	Opraveno ve verzích
Confluence Data Center	5.9.1, 7.19.0, 7.20.0, 8.0.0, 8.1.0, 8.2.0, 8.3.0, 8.4.0, 8.5.0, 8.6.0, 8.7.1, 8.8.0, 8.9.0, 9.0.0	7.19.29, 8.5.17, 8.9.8, 9.1.0, 9.2.0

---

 

CVE-2022-3517 DoS (Denial of Service) minimatch Dependency in Confluence Data Center

Popis zranitelnosti:
Tato závažná zranitelnost „Denial of Service“ (DoS) související s minimatch byla nalezena v Confluence Data Center 7.19.0.

Zranitelnost umožňuje neautentizovanému útočníkovi narušit dostupnost služeb ve vašem prostředí, což má:

• žádný dopad na důvěrnost,
• žádný dopad na integritu,
• vysoký dopad na dostupnost.

Tato zranitelnost nevyžaduje interakci uživatele.

Další informace https://nvd.nist.gov/vuln/detail/CVE-2022-3517

Doporučení společnosti Atlassian:

1. Aktualizujte Confluence Data Center na nejnovější verzi.
2. Pokud není okamžitá aktualizace možná, proveďte upgrade na opravenou verzi Confluence Data Center 9.1: Verze 9.1.0 nebo vyšší.

Dotčené produkty

Produkt	Nalezeno ve verzích	Opraveno ve verzích
Confluence Data Center	7.19.0, 7.20.0, 8.0.0, 8.1.0, 8.2.0, 8.3.0, 8.4.0, 8.5.0, 8.6.0, 8.7.1, 8.8.0, 8.9.0, 9.0.0	7.19.29, 8.5.17, 8.9.8, 9.1.0, 9.2.0

---

 

CVE-2022-38900 DoS (Denial of Service) decode-uri-component Dependency in Confluence Data Center a Server

 

Popis zranitelnosti:
Zranitelnost typu Denial of Service (DoS) byla objevena v závislosti decode-uri-component u Confluence Data Center. Tato zranitelnost byla poprvé zavedena ve verzi 7.0.1 Confluence Data Center.

Popis:
Tato zranitelnost umožňuje neautentizovanému útočníkovi provést exploataci, která má:

• Žádný dopad na důvěrnost
• Žádný dopad na integritu
• Vysoký dopad na dostupnost
  Navíc nevyžaduje žádnou uživatelskou interakci.

Další informace https://nvd.nist.gov/vuln/detail/CVE-2022-38900

Doporučení Atlassian:
Zákazníkům používajícím Confluence Data Center se doporučuje:

1. Upgradovat na nejnovější verzi.
2. Pokud to není možné, přejít na podporované opravené verze Confluence Data Center 9.1: Aktualizace na verzi rovnou nebo vyšší než 9.1.0.

Dotčené produkty

Produkt	Nalezeno ve verzích	Opraveno ve verzích
Confluence Data Center	7.0.1, 7.19.0, 7.20.0, 8.0.0, 8.1.0, 8.2.0, 8.3.0, 8.4.0, 8.5.0, 8.6.0, 8.7.1, 8.8.0, 8.9.0, 9.0.0, 9.1.0	7.19.29, 8.5.17, 8.9.8, 9.1.1
Confluence Server	7.0.1, 7.19.0, 7.20.0, 8.0.0, 8.1.0, 8.2.0, 8.3.0, 8.4.0, 8.5.0, 8.6.0, 8.7.1, 8.8.0, 8.9.0, 9.0.0, 9.1.0	7.19.29, 8.5.17, 8.9.8, 9.1.1

---

 

CVE-2023-45859 – více zranitelností ve více produktech

Další informace https://nvd.nist.gov/vuln/detail/CVE-2023-45859

Improper Authorization com.hazelcast:hazelcast Dependency in Confluence Data Center and Server

Tato zranitelnost souvisí s com.hazelcast:hazelcast byla poprvé nalezena ve verzi 5.5 Confluence Data Center a Server.
Využití této zranitelnosti umožňuje neautentizovanému útočníkovi:

• Zpřístupnit ve vašem prostředí assety náchylné k exploataci.
• Zranitelnost má:
• Nízký dopad na důvěrnost (confidentiality).
• Nízký dopad na integritu (integrity).
• Žádný dopad na dostupnost (availability).
• Útok nevyžaduje žádnou interakci uživatele.

Přehled opravených verzí pro Confluence Data center

Dotčená verze	Opraveno ve verzi
8.9.0	8.9.0
from 8.8.0 to 8.8.1	8.9.0
from 8.7.0 to 8.7.2	8.9.0
from 8.6.0 to 8.6.2	8.9.0
from 8.5.0 to 8.5.8 LTS	8.9.0 or 8.5.9 LTS recommended
from 8.4.0 to 8.4.5	8.9.0 or 8.5.9 LTS recommended
from 8.3.0 to 8.3.4	8.9.0 or 8.5.9 LTS recommended
from 8.2.0 to 8.2.3	8.9.0 or 8.5.9 LTS recommended
from 8.1.0 to 8.1.4	8.9.0 or 8.5.9 LTS recommended
from 8.0.0 to 8.0.4	8.9.0 or 8.5.9 LTS recommended
from 7.20.0 to 7.20.3	8.9.0 or 8.5.9 LTS recommended
from 7.19.0 to 7.19.21 LTS	8.9.0 or 8.5.9 LTS recommended or 7.19.22 LTS
from 7.18.0 to 7.18.3	8.9.0 or 8.5.9 LTS recommended or 7.19.22 LTS
from 7.17.0 to 7.17.5	8.9.0 or 8.5.9 LTS recommended or 7.19.22 LTS
Any earlier versions	8.9.0 or 8.5.9 LTS recommended or 7.19.22 LTS

 

Přehled opravených verzí pro Confluence Server

Dotčená verze	Opraveno ve verzi
from 8.5.0 to 8.5.8 LTS	8.5.9 LTS recommended
from 8.4.0 to 8.4.5	8.5.9 LTS recommended
from 8.3.0 to 8.3.4	8.5.9 LTS recommended
from 8.2.0 to 8.2.3	8.5.9 LTS recommended
from 8.1.0 to 8.1.4	8.5.9 LTS recommended
from 8.0.0 to 8.0.4	8.5.9 LTS recommended
from 7.20.0 to 7.20.3	8.5.9 LTS recommended
from 7.19.0 to 7.19.21 LTS	8.5.9 LTS recommended or 7.19.22 LTS
from 7.18.0 to 7.18.3	8.5.9 LTS recommended or 7.19.22 LTS
from 7.17.0 to 7.17.5	8.5.9 LTS recommended or 7.19.22 LTS
Any earlier versions	8.5.9 LTS recommended or 7.19.22 LTS

 

com.hazelcast:hazelcast Dependency in Confluence Data Center and Server

Popis zranitelnosti:
zranitelnost souvisí s  com.hazelcast:hazelcast byla poprvé objevena ve verzi 3.7 Confluence Data Center a Server.

Zranitelnost umožňuje autentizovanému útočníkovi přístup k datům uloženým v clusteru Hazelcast, pokud některé operace klienta nesprávně ověřují oprávnění, což má

• Vysoký dopad na důvěrnost.
• Nízký dopad na integritu a dostupnost.

Útok nevyžaduje interakci uživatele

Popis zranitelnosti v NVD:
Ve verzích Hazelcast až do 4.1.10, 4.2 až 4.2.8, 5.0 až 5.0.5, 5.1 až 5.1.7, 5.2 až 5.2.4 a 5.3 až 5.3.2 některé operace klienta nesprávně ověřují oprávnění, což umožňuje autentizovaným uživatelům přistupovat k datům uloženým v clusteru.

Doporučení Atlassian:

Zákazníkům používajícím Confluence Data Center a Server se doporučuje:

1. Upgradovat na nejnovější verzi.
2. Pokud to není možné, přejít na jednu z následujících opravených verzí:
• Confluence Data Center a Server 7.19: Aktualizace na verzi 7.19.22 nebo novější.
• Confluence Data Center a Server 8.5: Aktualizace na verzi 8.5.9 nebo novější.

Dotčené produkty

Produkt	Nalezeno ve verzích	Opraveno ve verzích
Confluence Data Center	3.7.0, 5.5, 7.19.0, 7.20.0, 8.0.0, 8.1.0, 8.2.0, 8.3.0, 8.4.0, 8.5.0, 8.6.0, 8.7.1, 8.8.0	7.19.22, 8.5.9, 8.9.0, 9.2.0
Confluence Server	3.7.0, 7.19.0, 7.20.0, 8.0.0, 8.1.0, 8.2.0, 8.3.0, 8.4.0, 8.5.0, 8.6.0, 8.7.1, 8.8.0	7.19.22, 8.5.9, 8.9.0, 9.2.0

 

com.hazelcast:hazelcast Dependency in Bitbucket Data Center and Server

Popis zranitelnosti:
zranitelnost souvisí s  com.hazelcast:hazelcast byla objevena  ve verzích 7.21.0, 8.3.0, 8.4.0, 8.5.0, 8.6.0, 8.7.0, 8.8.0, 8.9.0, 8.10.0, 8.11.0, 8.12.0, 8.13.0, 8.14.0-eap01, 8.15.0, 8.16.0, 8.17.0 a 8.18.0 Bitbucket Data Center a Server.

Zranitelnost umožňuje autentizovanému útočníkovi přístup k datům uloženým v clusteru Hazelcast, pokud některé operace klienta nesprávně ověřují oprávnění, což má

• Vysoký dopad na důvěrnost.
• Nízký dopad na integritu a dostupnost.

Útok nevyžaduje interakci uživatele

Popis zranitelnosti v NVD:
Ve verzích Hazelcast až do 4.1.10, 4.2 až 4.2.8, 5.0 až 5.0.5, 5.1 až 5.1.7, 5.2 až 5.2.4 a 5.3 až 5.3.2 některé operace klienta nesprávně ověřují oprávnění, což umožňuje autentizovaným uživatelům přistupovat k datům uloženým v clusteru.

Doporučení Atlassian:

Zákazníkům Bitbucket Data Center a Server doporučujeme:

1. Upgradovat na nejnovější verzi.
2. Pokud to není možné, přejděte na jednu z následujících opravených verzí Bitbucket Data Center a Server 8.9: Aktualizace na verzi 8.9.14 nebo novější.

Dotčené produkty

Produkt	Nalezeno ve verzích	Opraveno ve verzích
Bitbucket Data Center	7.21.0, 8.3.0, 8.3.1, 8.3.2, 8.3.3, 8.3.4, 8.4.0, 8.4.1, 8.4.2, 8.4.3, 8.4.4, 8.5.0, 8.5.1, 8.5.2, 8.5.3, 8.5.4, 8.6.0, 8.6.1, 8.6.2, 8.6.3, 8.6.4, 8.7.0, 8.7.1, 8.7.2, 8.7.3, 8.7.4, 8.7.5, 8.8.0, 8.8.1, 8.8.2, 8.8.3, 8.8.4, 8.8.5, 8.8.6, 8.8.7, 8.9.0, 8.9.1, 8.9.2, 8.9.3, 8.9.4, 8.9.5, 8.9.6, 8.9.7, 8.9.8, 8.9.9, 8.9.10, 8.9.11, 8.9.12, 8.9.13, 8.10.0, 8.10.1, 8.10.2, 8.10.3, 8.10.4, 8.10.5, 8.10.6, 8.11.0, 8.11.1, 8.11.2, 8.11.3, 8.11.4, 8.11.5, 8.11.6, 8.12.0, 8.12.1, 8.12.2, 8.12.3, 8.12.4, 8.12.5, 8.12.6, 8.13.0, 8.13.1, 8.13.2, 8.13.3, 8.13.4, 8.13.5, 8.13.6, 8.14.0, 8.14.0-eap01, 8.14.1, 8.14.2, 8.14.3, 8.14.4, 8.14.5, 8.14.6, 8.15.0, 8.15.1, 8.15.2, 8.15.3, 8.15.4, 8.15.5, 8.16.0, 8.16.1, 8.16.2, 8.16.3, 8.16.4, 8.17.0, 8.17.1, 8.18.0	8.9.14, 8.17.2, 8.18.1, 8.19.0
Bitbucket Server	7.21.0, 8.3.0, 8.3.1, 8.3.2, 8.3.3, 8.3.4, 8.4.0, 8.4.1, 8.4.2, 8.4.3, 8.4.4, 8.5.0, 8.5.1, 8.5.2, 8.5.3, 8.5.4, 8.6.0, 8.6.1, 8.6.2, 8.6.3, 8.6.4, 8.7.0, 8.7.1, 8.7.2, 8.7.3, 8.7.4, 8.7.5, 8.8.0, 8.8.1, 8.8.2, 8.8.3, 8.8.4, 8.8.5, 8.8.6, 8.8.7, 8.9.0, 8.9.1, 8.9.2, 8.9.3, 8.9.4, 8.9.5, 8.9.6, 8.9.7, 8.9.8, 8.9.9, 8.9.10, 8.9.11, 8.9.12, 8.9.13, 8.10.0, 8.10.1, 8.10.2, 8.10.3, 8.10.4, 8.10.5, 8.10.6, 8.11.0, 8.11.1, 8.11.2, 8.11.3, 8.11.4, 8.11.5, 8.11.6, 8.12.0, 8.12.1, 8.12.2, 8.12.3, 8.12.4, 8.12.5, 8.12.6, 8.13.0, 8.13.1, 8.13.2, 8.13.3, 8.13.4, 8.13.5, 8.13.6, 8.14.0, 8.14.0-eap01, 8.14.1, 8.14.2, 8.14.3, 8.14.4, 8.14.5, 8.14.6, 8.15.0, 8.15.1, 8.15.2, 8.15.3, 8.15.4, 8.15.5, 8.16.0, 8.16.1, 8.16.2, 8.16.3, 8.16.4, 8.17.0, 8.17.1, 8.18.0	8.9.14, 8.17.2, 8.18.1, 8.19.0

---

 

CVE-2024-38816

Path Traversal org.springframework:spring-webmvc Dependency in Confluence Data Center and Server

org.springframework:spring-webmvc Dependency in Bitbucket Data Center and Server

 

zranitelnost  související s org.springframework:spring-webmvc byla nalezena v Confluence Data Center a Server verze 3

a Bitbucket Data Center a Server  verze  8.6.0, 8.7.0, 8.8.0, 8.9.0, 8.10.0, 8.11.0, 8.12.0, 8.13.0, 8.14.0, 8.15.0, 8.16.0, 8.17.0 a 8.18.0

Zranitelnost umožňuje neautentizovanému útočníkovi získat přístup k prostředkům ve vašem prostředí náchylným k exploataci.

Dopady:

• Vysoký dopad na důvěrnost.
• Žádný dopad na integritu a dostupnost.

Útok nevyžaduje žádnou interakci uživatele.

Popis zranitelnosti v NVD:

Aplikace, které poskytují statické prostředky prostřednictvím funkčních webových frameworků WebMvc.fn nebo WebFlux.fn, jsou zranitelné vůči útokům typu path traversal. Útočník může vytvořit škodlivé HTTP požadavky a získat přístup k libovolným souborům na souborovém systému, ke kterým má přístup proces, ve kterém běží aplikace Spring.

Aplikace je zejména zranitelná, pokud:

• Webová aplikace používá RouterFunctions pro poskytování statických prostředků.
• Zpracování prostředků je explicitně nakonfigurováno s umístěním FileSystemResource.

Škodlivý kód je blokován, pokud:

• Použití Spring Security HTTP Firewallu (více zde).
• Aplikace běží na serverech Tomcat nebo Jetty.

Doporučení Atlassian:

Zákazníkům Confluence Data Center a Server doporučujeme:

1. Upgradovat na nejnovější verzi.
2. Pokud to není možné, přejděte na jednu z následujících opravených verzí:

• Confluence Data Center a Server 8.5: Aktualizace na verzi 8.5.17 nebo novější.
• Confluence Data Center a Server 8.9: Aktualizace na verzi 8.9.8 nebo novější.
• Confluence Data Center a Server 9.1: Aktualizace na verzi 9.1.1 nebo novější.
• Bitbucket Data Center a Server 8.9: Aktualizace na verzi 8.9.21 nebo novější.
• Bitbucket Data Center a Server 8.19: Aktualizace na verzi 8.19.11 nebo novější.
• Bitbucket Data Center a Server 9.3: Aktualizace na verzi 9.3.0 nebo novější.

Další informace: https://nvd.nist.gov/vuln/detail/cve-2024-38816

Dotčené produkty

Produkt	Nalezeno ve verzích	Opraveno ve verzích
Bitbucket Data Center	8.6.0, 8.7.0, 8.8.0, 8.9.0, 8.9.1, 8.9.2, 8.9.3, 8.9.4, 8.9.5, 8.9.6, 8.9.7, 8.9.8, 8.9.9, 8.9.10, 8.9.11, 8.9.12, 8.9.13, 8.9.14, 8.9.15, 8.9.16, 8.9.17, 8.9.18, 8.9.19, 8.9.20, 8.10.0, 8.11.0, 8.12.0, 8.13.0, 8.14.0, 8.15.0, 8.16.0, 8.17.0, 8.18.0, 8.19.0	8.9.21, 8.19.11, 9.3.0
Bitbucket Server	8.6.0, 8.7.0, 8.8.0, 8.9.0, 8.9.1, 8.9.2, 8.9.3, 8.9.4, 8.9.5, 8.9.6, 8.9.7, 8.9.8, 8.9.9, 8.9.10, 8.9.11, 8.9.12, 8.9.13, 8.9.14, 8.9.15, 8.9.16, 8.9.17, 8.9.18, 8.9.19, 8.9.20, 8.10.0, 8.11.0, 8.12.0, 8.13.0, 8.14.0, 8.15.0, 8.16.0, 8.17.0, 8.18.0, 8.19.0	8.9.21, 8.19.11, 9.3.0
Confluence Data Center	3.0, 7.19.0, 7.19.20, 8.0.1, 8.1.0, 8.2.0, 8.3.0, 8.4.0, 8.5.0, 8.6.0, 8.7.1, 8.8.0, 8.9.0, 9.0.1, 9.1.0	7.19.29, 8.5.17, 8.9.8, 9.1.1
Confluence Server	3.0, 7.19.0, 7.19.20, 8.0.1, 8.1.0, 8.2.0, 8.3.0, 8.4.0, 8.5.0, 8.6.0, 8.7.1, 8.8.0, 8.9.0, 9.0.1, 9.1.0	7.19.29, 8.5.17, 8.9.8, 9.1.1

---

 

CVE-2024-4067 DoS (Denial of Service) in Bitbucket Data Center

Zranitelnost:
Tato zranitelnost typu DoS (Denial of Service) byla objevena ve verzích Bitbucket Data Center 8.9.0, 8.19.0 a 9.3.0. Zranitelnost umožňuje neautentizovanému útočníkovi dočasně nebo trvale narušit dostupnost služeb hostitele připojeného k síti. Neovlivňuje důvěrnost ani integritu, ale má vysoký dopad na dostupnost a nevyžaduje interakci uživatele.

Doporučení společnosti Atlassian:

1. Upgrade na nejnovější verzi Bitbucket Data Center.
2. Pokud není okamžitý upgrade možný, aktualizujte na některou z následujících opravených verzí:
• Bitbucket Data Center 8.9: aktualizujte na verzi 8.9.22 nebo vyšší.
• Bitbucket Data Center 8.19: aktualizujte na verzi 8.19.12 nebo vyšší.
• Bitbucket Data Center 9.3: aktualizujte na verzi 9.3.2 nebo vyšší.
• Bitbucket Data Center 9.4: aktualizujte na verzi 9.4.0 nebo vyšší.

Další informace https://nvd.nist.gov/vuln/detail/CVE-2024-4067

Dotčené produkty

Produkt	Nalezeno ve verzích	Opraveno ve verzích
Bitbucket Data Center	8.9.0, 8.19.0, 9.3.0	8.9.22, 8.19.12, 9.3.2, 9.4.0