Mehrere Schwachstellen in Jira und Confluence behoben

Table of Contents

Atlassian hat in seinem aktuellen Sicherheitsbulletin vom Juni 2024 mehrere hochgradige Sicherheitslücken behoben. Die Schwachstellen wurden im Rahmen des Bug-Bounty-Programms, durch Penetrationstests und Scans von Drittanbieter-Bibliotheken entdeckt. Insgesamt wurden neun schwerwiegende Schwachstellen identifiziert und in den neuesten Versionen der betroffenen Produkte behoben.

Confluence Data Center und Server

  • CVE-2024-22257: Improper Authorization in der spring-security-core Abhängigkeit. (CVSS 8.2)
  • CVE-2024-22243, CVE-2024-22262, CVE-2024-22259: Server-Side Request Forgery (SSRF) in der spring-web Abhängigkeit. (CVSS 8.1)
  • CVE-2024-29133, CVE-2024-29131: Denial of Service (DoS) in der commons-configuration2 Abhängigkeit. (CVSS 7.5)

Fisheye/Crucible

  • CVE-2022-25647: Denial of Service (DoS) in der gson Abhängigkeit. (CVSS 7.5)

Jira Data Center und Server

  • CVE-2024-21685: Informationsoffenlegung in Jira Core. (CVSS 7.4)

Jira Service Management Data Center und Server

  • CVE-2024-21685: Informationsoffenlegung in Jira Service Management. (CVSS 7.4)

Atlassian empfiehlt dringend, alle betroffenen Systeme auf die neuesten Versionen zu aktualisieren:

  • Confluence: Versionen 8.9.3, 8.5.11 (LTS), 7.19.24 (LTS)
  • Fisheye/Crucible: Version 4.8.15
  • Jira: Versionen 9.12.10 (LTS), 9.4.23 (LTS)
  • Jira Service Management: Versionen 5.12.10 (LTS), 5.4.23 (LTS)

Weitere Informationen finden Sie im Atlassian Sicherheitsbulletin Juni 2024.

Tags :

Related Posts

Hard-coded Passwort in Fortra FileCatalyst entdeckt

Am 18. Juni 2024 wurde eine schwerwiegende Sicherheitslücke in den FileCatalyst-Produkten gemeldet (CVE-2024-5275). In den Versionen FileCatalyst Direct 3.8.10 Build 138 und früher sowie FileCatalyst Workflow 5.1.6 Build 130 und früher wurde ein hartcodiertes Passwort entdeckt, das zur Entschlüsselung des Keystores verwendet werden kann. Dies kann dazu führen, dass private Schlüssel für Zertifikate offengelegt werden, was wiederum Angriffe wie “Machine-in-the-Middle” (MiTM) gegen Benutzer ermöglicht.

Read More

Use After Free Sicherheitslücke in Microsoft Message Queuing (MSMQ) entdeckt

Am 11. Juni 2024 wurde eine kritische Sicherheitslücke (CVE-2024-30080) in Microsoft Message Queuing (MSMQ) bekannt, die eine Remote-Code-Ausführung ermöglicht. Diese Schwachstelle wird als “Use After Free” klassifiziert und hat einen kritischen CVSS-Score von 9.8 / 10.

Read More

Kritische Sicherheitslücken in VMware vCenter Server

Am 18. Juni 2024 hat VMware / Broadcom eine kritische Sicherheitswarnung für den vCenter Server veröffentlicht, um mehrere Schwachstellen zu beheben. Diese Sicherheitslücken betreffen sowohl den vCenter Server als auch VMware Cloud Foundation und werden unter den CVE-Kennungen CVE-2024-37079, CVE-2024-37080 und CVE-2024-37081 geführt. Die Sicherheitslücken haben eine CVSSv3-Bewertung im Bereich von 7.8 bis 9.8, was sie als äußerst kritisch einstuft.

Read More