众至科技漏洞通告 | Atlassian Crowd and Crowd Data Center 权限绕过漏洞;Bitbucket Server and Data Center 远程命令执行漏洞
2022-11-30 10:9:45 Author: www.secpulse.com(查看原文) 阅读量:23 收藏

【漏洞通告】Atlassian Crowd and Crowd Data Center 权限绕过漏洞
1. 基础信息

CVE

CVE-2022-43782

等级

高危

类型

权限绕过

2. 漏洞详情

Atlassian Crowd和Atlassian Crowd Data Center都是澳大利亚Atlassian公司的产品。Atlassian Crowd是一套基于Web的单点登录系统。该系统为多用户、网络应用程序和目录服务器提供验证、授权等功能。Atlassian Crowd Data Center是Crowd的集群部署版。

CVE-2022-43782 中,Atlassian Crowd和Atlassian Crowd Data Center 3.0 版本及其之后在同时满足以下条件时受影响:

1、Atlassian Crowd和Atlassian Crowd Data Center 为新安装版本,即从 https://www.atlassian.com/software/crowd/download/data-center 下载安装,而不是从旧版本升级而来。

2、在Atlassian Crowd和Atlassian Crowd Data Center Remote Address 配置中增加了IP,默认情况下为空

在同时满足以上两个条件的情况下,攻击者可从相关IP地址调用Atlassian Crowd和Atlassian Crowd Data Center usermanagement REST API,而无需通过密码身份认证,执行任意敏感操作。

3. 影响范围

Crowd 3.0.0 - Crowd 3.7.2

Crowd 4.0.0 - Crowd 4.4.3

Crowd 5.0.0 - Crowd 5.0.2

4.安全建议

官方已发布安全更新,若您Crowd满足详情中两个条件,建议升级至安全版本及其以上,其中 Crowd 3.0 系列已停止支持,建议升级至 Crowd 5.x/4.x 系列。

5.参考链接

https://confluence.atlassian.com/crowd/crowd-security-advisory-november-2022-1168866129.html

【漏洞通告】Bitbucket Server and Data Center 远程命令执行漏洞
1. 基础信息

CVE

CVE-2022-43781

等级

高危

类型

命令执行

2. 漏洞详情

 Bitbucket Server或者Data Center中存在使用环境变量的命令注入漏洞。具有控制用户名权限的攻击者可以利用此问题在系统上执行代码。Bitbucket Server和Data Center 7.0版中引入了此漏洞。在开启了注册功能的情况下,攻击者可通过注册用户前台执行任意命令。若Bitbucket Server/Data Center 使用PostgreSQL 作为数据库,则不受该漏洞影响。

3. 影响范围

7.0.0 ≤ version < 7.6.19

7.7.0 ≤ version < 7.17.12

7.18.0 ≤ version < 7.21.6

7.22.0 ≤ version < 8.0.5

8.1.0 ≤ version < 8.1.5

8.2.0 ≤ version < 8.2.4

8.3.0 ≤ version < 8.3.3

8.4.0 ≤ version < 8.4.2

4.安全建议

1、官方已发布安全更新,建议升级至安全版本及其以上。

2、若暂无法升级,建议关闭前台注册功能。

5.参考链接

https://confluence.atlassian.com/bitbucketserver/bitbucket-server-and-data-center-security-advisory-2022-11-16-1180141667.html

本文作者:众至科技

本文为安全脉搏专栏作者发布,转载请注明:https://www.secpulse.com/archives/192575.html


文章来源: https://www.secpulse.com/archives/192575.html
如有侵权请联系:admin#unsafe.sh