Schwachstellen in verschiedenen Atlassian-Produkten Bitbucket, Confluence und Jira sind verwundbar

Anbieter zum Thema

Fsas Technologies GmbH

FTAPI Software GmbH

Angreifer können verschiedene Produkte von Atlassian angreifen und Daten stehlen. Betroffen sind unter anderem Atlassian Bitbucket, Confluence und Jira. Die Entwickler stellen Updates für die Produkte zur Verfügung.

Im aktuellen Security Bulletin von Atlassian werden mehrere sicherheitskritische Schwachstellen in den Produkten Bitbucket, Confluence und Jira Service Management beschrieben. Diese Schwachstellen wurden durch das Bug-Bounty-Programm von Atlassian, Penetrationstests und externe Bibliotheksüberprüfungen identifiziert. In den neuesten Versionen der betroffenen Softwareprodukte sind diese Lücken behoben.

Updates dringend installieren

Kritische Schwachstellen in Bamboo, Confluence, Crowd und Jira

Sechs kritische Sicherheitslücken

Insgesamt fallen sechs Sicherheitslücken auf, die besonders kritisch sind. Administratoren und Nutzer der Atlassian-Produkte sollten dringend die neuesten Versionen installieren, um diese Schwachstellen zu schließen und potenzielle Angriffe zu verhindern. Atlassian empfiehlt, auf die jeweils neueste Version zu aktualisieren oder auf die spezifisch als sicher eingestuften Versionen zu wechseln.

Sicherheitslücke in Bitbucket Data Center und Server

Eine der schwerwiegenderen Schwachstellen betrifft Bitbucket Data Center und Server. Hier führt ein Code-Fehler im gebündelten JRE (Java Runtime Environment) zu einem Sicherheitsrisiko mit einer CVSS-Wertung von 7.4. Diese Schwachstelle, identifiziert als CVE-2024-21147, ermöglicht es nicht authentifizierten Angreifern mit Netzwerkzugriff über mehrere Protokolle, Oracle Java SE, Oracle GraalVM for JDK, Oracle GraalVM Enterprise Edition zu kompromittieren. Erfolgreiche Angriffe auf können zu unbefugtem Erstellen, Löschen oder Ändern von Zugriff auf kritische Daten oder alle über Oracle Java SE, Oracle GraalVM for JDK, Oracle GraalVM Enterprise Edition zugänglichen Daten sowie zu unbefugtem Zugriff auf kritische Daten oder vollständigen Zugriff auf alle über Oracle Java SE, Oracle GraalVM for JDK, Oracle GraalVM Enterprise Edition zugänglichen Daten führen. Gelöst wird das Problem durch das Einspielen der Versionen 8.19.10 oder 8.9.20 in den Long-Term-Support-Versionen (LTS).

Mehrere Schwachstellen in Confluence

Confluence Data Center und Server sind ebenfalls von mehreren Schwachstellen betroffen. Eine kritische Schwachstelle CVE-2024-4367 mit einer CVSS-Wertung von 8.1 betrifft die Möglichkeit eines Stored Cross-Site-Scripting-Angriffs (Stored XSS). Dieser erlaubt es authentifizierten Angreifern, beliebigen HTML- oder JavaScript-Code im Browser eines Opfers auszuführen, was große Auswirkungen auf die Vertraulichkeit und Integrität hat und keine Benutzerinteraktion erfordert. Die Schwachstelle betrifft Firefox < 126, Firefox ESR < 115.11, and Thunderbird < 115.11.

Daneben sind auch Denial-of-Service-Angriffe (DoS) möglich, die auf Schwachstellen in externen Abhängigkeiten wie „commons-configuration2“ und „moment.js“ zurückzuführen sind. Diese Schwachstellen (CVE-2022-31129, CVE-2022-24785), bewertet mit einem CVSS von jeweils 7.5, erfordern ebenfalls schnelle Sicherheitsupdates, um die Verfügbarkeit der Systeme sicherzustellen. Auch die Schwachstelle CVE-2024-29131 (CVSS 7.3) ermöglicht in Confluence Data Center und Sever DoS-Angriffe.

Schwachstelle in Jira Service Management

Jira Service Management weist ebenfalls eine kritische Schwachstelle auf, die durch eine Buffer Overflow-Lücke in der „protobuf-java“-Bibliothek verursacht wird. Die Schwachstelle CVE-2024-7254, hat laut Atlassian eine CVSS-Wertung von 7.5. Durch das Überlaufen des Puffers können Angreifer potenziell Schadcode ausführen oder das System zum Absturz bringen. Auch hier empfiehlt Atlassian, auf die neuesten Versionen zu aktualisieren.

Um herauszufinden, ob eigene Atlassian-Installationen betroffen sind, bietet Atlassian ein spezielles Vulnerability Disclosure Portal. Hier lassen sich veröffentlichte Schwachstellen nach CVE-Nummer durchsuchen und die jeweils betroffenen Produktversionen abgleichen. Es wird dringend empfohlen, dieses Portal regelmäßig zu überprüfen und sicherzustellen, dass alle genutzten Produkte auf dem aktuellen Stand sind.

Exploits trotz vorhandenen Patches

Oracle veröffentlicht 334 Sicherheitspatches

(ID:50215702)