Mehrere Schwachstellen in Jira und Confluence behoben

Table of Contents

Atlassian hat in seinem aktuellen Sicherheitsbulletin vom Juni 2024 mehrere hochgradige Sicherheitslücken behoben. Die Schwachstellen wurden im Rahmen des Bug-Bounty-Programms, durch Penetrationstests und Scans von Drittanbieter-Bibliotheken entdeckt. Insgesamt wurden neun schwerwiegende Schwachstellen identifiziert und in den neuesten Versionen der betroffenen Produkte behoben.

Confluence Data Center und Server

  • CVE-2024-22257: Improper Authorization in der spring-security-core Abhängigkeit. (CVSS 8.2)
  • CVE-2024-22243, CVE-2024-22262, CVE-2024-22259: Server-Side Request Forgery (SSRF) in der spring-web Abhängigkeit. (CVSS 8.1)
  • CVE-2024-29133, CVE-2024-29131: Denial of Service (DoS) in der commons-configuration2 Abhängigkeit. (CVSS 7.5)

Fisheye/Crucible

  • CVE-2022-25647: Denial of Service (DoS) in der gson Abhängigkeit. (CVSS 7.5)

Jira Data Center und Server

  • CVE-2024-21685: Informationsoffenlegung in Jira Core. (CVSS 7.4)

Jira Service Management Data Center und Server

  • CVE-2024-21685: Informationsoffenlegung in Jira Service Management. (CVSS 7.4)

Atlassian empfiehlt dringend, alle betroffenen Systeme auf die neuesten Versionen zu aktualisieren:

  • Confluence: Versionen 8.9.3, 8.5.11 (LTS), 7.19.24 (LTS)
  • Fisheye/Crucible: Version 4.8.15
  • Jira: Versionen 9.12.10 (LTS), 9.4.23 (LTS)
  • Jira Service Management: Versionen 5.12.10 (LTS), 5.4.23 (LTS)

Weitere Informationen finden Sie im Atlassian Sicherheitsbulletin Juni 2024.

Tags :

Related Posts

Hard-coded Passwort in Fortra FileCatalyst entdeckt

Am 18. Juni 2024 wurde eine schwerwiegende Sicherheitslücke in den FileCatalyst-Produkten gemeldet (CVE-2024-5275). In den Versionen FileCatalyst Direct 3.8.10 Build 138 und früher sowie FileCatalyst Workflow 5.1.6 Build 130 und früher wurde ein hartcodiertes Passwort entdeckt, das zur Entschlüsselung des Keystores verwendet werden kann. Dies kann dazu führen, dass private Schlüssel für Zertifikate offengelegt werden, was wiederum Angriffe wie “Machine-in-the-Middle” (MiTM) gegen Benutzer ermöglicht.

Read More

Kritische Sicherheitslücken in Ghostscript

In Ghostscript, einem Interpreter für PostScript und PDF, wurden mehrere kritische Sicherheitslücken behoben. Diese Schwachstellen betreffen verschiedene Ubuntu-Versionen und erlauben es Angreifern, Arbitrary Code auszuführen oder Dateizugriffe zu erlangen.

Read More

OS Command Injection in GeoVision Kamerasystemen möglich

Eine schwerwiegende OS Command Injection-Schwachstelle (CVE-2024-6047) wurde in bestimmten End-of-Life (EOL)-Geräten von GeoVision entdeckt. Diese Schwachstelle ermöglicht es nicht authentifizierten, entfernten Angreifern, beliebige Systembefehle auf den betroffenen Geräten auszuführen. Die Schwachstelle hat eine CVSSv3-Bewertung von 9.8 (Kritisch).

Read More