گزارش آسیب پذیری در محصولات Atlassian

     تاریخ آخرین ویرایش :   13 آذر 1401       3 بازدید
آسیب پذیری در محصولات Atlassian
این مطلب را در شبکه های اجتماعی خود به اشتراک بگذارید
زمان مطالعه: 2 دقیقه

گزارش آسیب پذیری در محصولات Atlassian

آسیب پذیری در محصولات Atlassian با شدت خطر بحرانی از سوی محافل امنیتی اعلام شد.

اخبار ارتباطات و فناوری اطلاعات – دو آسیب پذیری با شدت خطر بحرانی (CVSSv3 9) در Crowd server ،Bitbucket server  و دیتاسنتر مرتبط با آن‌ها و با شناسه‌های CVE-2022-43782 ,CVE-2022-43781 شناخته شده‌اند. آسیب‌پذیری CVE-2022-43782 ناشی از عدم پیکربندی صحیح در Crowd است که به مهاجم اجازه داده تا هنگام احراز هویت با استفاده از عنوان Crowd app، اعتبار سنجی رمز عبور را دور زده و به API های نقاط پایانی ممتاز دست یابد. مطابق با اطلاعات موجود بهره‌برداری از این آسیب‌پذیری نیازمند ایجاد یک شرایط خاص برای مهاجم مانند تغییر پیکربندی آدرس IP به یک آدرس مجاز می‌باشد. آسیب‌پذیری CVE-2022-43781 که بر روی Bitbucket و دیتاسنتر آن تاثیر می‌گذارد از نوع Command injection بوده و به مهاجم این امکان را می دهد تا نام کاربری خود را کنترل نماید. این نقص می‌تواند در شرایط خاص به یک حمله RCE تبدیل گردد و به مهاجم امکان اجرای کد دلخواه خود را در سرویس دهنده آسیب پذیر دهد.

نسخه‌های آسیب پذیر 

تنها نسخه‌های جدید Crowd شامل این آسیب‌پذیری هستند. به عنوان مثال اگر از نسخه 2.9.1 به نسخه 3.0.0 ارتقا یابد، تحت تاثیر این آسیب پذیری قرار نخواهد گرفت اما لازم به ذکر است لیست پیکربندی IP های مجاز به اتصال از راه دور پس از ارتقا، به نسخه جدید منتقل می شود پس نیاز به یک بازنگری درمورد آدرس IP های مجاز است. نسخه های آسیب‌پذیر به شرح زیر است:

1-Crowd 3.0.0 – Crowd 3.7.2

2-Crowd 4.0.0 _ Crowd 4.4.3
3-Crowd 5.0.0 _ Crowd 5.0.2

تمامی نسخه‌های Bitbucket از 7.0 تا 7.21 نیز تحت‌تاثیر آسیب‌پذیری قرار دارند. همچنین در نسخه‌های بالاتر به طور مثال 8.0.0 تا 8.4.1 اگر در قسمت تنظیمات مقدار mesh.enable برابر مقدار false باشد سرویس دهنده نیز تحت تاثیر قرار خواهد گرفت.

1-Bitbucket 7.0 to 7.5 (all versions)
2-Bitbucket 7.6.0 to 7.6.18
3-Bitbucket 7.7 to 7.16 (all versions)
3-Bitbucket 7.17.0 to 7.17.11
4-Bitbucket 7.18 to 7.20 (all versions)
5Bitbucket 7.21.0 to 7.21.5

راه حل آسیب پذیری در محصولات Atlassian

چنانچه امکان ارتقا نسخه  Bitbucket وجود نداشت، یک راه حل مرتفع سازی موقت توسط شرکت Atlssian  ارائه گشته است که با غیر فعال کردن گزینه Allow public sign up از مسیر Administrator > Authentication اجازه ثبت نام عمومی برداشته می‌شود.
در خصوص Crowd نیز می توان از مسیر

اقدام به دستیابی و حذف ورودی‌های Remote address جهت ایجاد دسترسی به این سرویس‌دهنده به صورت کنترل شده انجام گیرد.

منبع

برچسب‌ها

سردبیر

دیدگاهتان را بنویسید

نشانی ایمیل شما منتشر نخواهد شد. بخش‌های موردنیاز علامت‌گذاری شده‌اند *

پست بعدی

اعلام احکام مالیاتی حمایت از کسب‌وکارهای اینترنتی

ی آذر 13 , 1401
<span class="rt-reading-time" style="display: block;"><span class="rt-label rt-prefix">زمان مطالعه: </span> <span class="rt-time">2</span> <span class="rt-label rt-postfix">دقیقه</span></span> این مطلب را در شبکه های اجتماعی خود به اشتراک بگذارید اعلام احکام مالیاتی حمایت از کسب‌وکارهای اینترنتی ​​​​​​​احکام مالیاتی آیین‌نامه حمایت از کسب‌وکارهای اینترنتی و توسعه سکوها و کسب‌وکارهای اقتصاد دیجیتال از سوی سازمان امور مالیاتی کشور ابلاغ می شود. اخبار ارتباطات و فناوری اطلاعات – آیین‌نامه حمایت از […]
حمایت از کسب‌وکارهای اینترنتی
//