Atlassian: Schwachstellen machen Bitbucket, Confluence und Jira verwundbar
In Bitbucket, Confluence und Jira lauern Sicherheitslücken, die etwa Informationsabfluss oder Denial-of-Service ermöglichen.
(Bild: Bild erstellt mit KI in Bing Image Creator durch heise online / dmk)
Atlassian hat das Security-Bulletin für den Oktober veröffentlicht. Darin beschreibt das Unternehmen sechs Sicherheitslücken, die in Bitbucket, Confluence und Jira klaffen. Aktualisierte Software steht bereit, die die Schwachstellen ausbessert.
In der Sicherheitsmitteilung erörtern Atlassians Entwickler, dass etwa die gebündelte Java Runtime Environment (JRE) in Bitbucket Data Center und Server nicht authentifizierten Angreifern ermöglicht, unbefugt Daten lesen, löschen, schreiben oder verändern können (CVE-2024-21147, CVSS 7.4, Risiko "hoch"). Bitbucket Datacenter 9.2.1 und 8.19.19 (LTS) korrigieren die Fehler, ebenso Bitbucket Data Center und Server 8.9.20 (LTS) – und natürlich jeweils neuere Fassungen.
Atlassian: Weitere Schwachstellen
In Confluence Data Center und Server hingegen gefährden etwa eine Stored Cross-Site-Scripting-Lücke (CVE-2024-4367, CVSS 8.1, hoch), eine Regular Expression Denial-of-Service (ReDoS)-Lücke (CVE-2022-31129, CVSS 7.5, hoch), eine Directory-Traversal-Schwachstelle (CVE-2022-24785, CVSS 7.5, hoch) sowie eine Denial-of-Service-Sicherheitslücke (CVE-2024-29131, CVSS 7.3, hoch) die Sicherheit der Software. Confluence Data Center neuer als 9.0.0 oder von 8.9.3 bis 8.9.7 und Confluence Data Center und Server 8.5.11 bis 8.5.16 sowie 7.19.26 bis 7.19.28 (LTS) und aktueller stopfen die Sicherheitslecks.
In Jira Data Center und Server hingegen können Angreifer aus dem Netz ohne vorherige Authentifizierung einen Stack-basierten Pufferüberlauf auslösen (CVE-2024-7254, CVSS 7.5, hoch). Dies habe lediglich Einfluss auf die Dienstverfügbarkeit, erörtern Atlassians Entwickler. Es handelt sich offenbar um eine DoS-Lücke, sie scheint der Beschreibung nach keine Ausführung von eingeschleustem Code zu erlauben, was bei Pufferüberläufen oft der Fall ist. Jira Data Center 10.1.1 und 5.17.4 sowie Jira Data Center und Server 5.12.14 (LTS) korrigieren den sicherheitsrelevanten Fehler.
Die aktualisierte Software steht im Download-Portal von Atlassian zum Herunterladen bereit. IT-Verantwortliche sollten die Updates zĂĽgig anwenden.
Die Update-Sammlung von Atlassian im September hielt Patches fĂĽr Bamboo, Bitbucket, Confluence und Crowd Data Center und Server parat. Alle LĂĽcken wurden von Atlassians Entwicklern als hohes Risiko eingestuft.
(dmk)