Krytyczna podatność w wielu produktach Atlassian pozwala zdalnemu, nieuwierzytelnionemu atakującemu na ominięcie mechanizmów Servlet Filters stosowanych przez aplikacje pierwszych i trzecich stron. W zależności od konfiguracji filtrów może prowadzić do authentication bypass lub cross-site scripting (XSS).
▸ Pokaż oryginał (EN)
A vulnerability in multiple Atlassian products allows a remote, unauthenticated attacker to bypass Servlet Filters used by first and third party apps. The impact depends on which filters are used by each app, and how the filters are used. This vulnerability can result in authentication bypass and cross-site scripting. Atlassian has released updates that fix the root cause of this vulnerability, but has not exhaustively enumerated all potential consequences of this vulnerability. Atlassian Bamboo versions are affected before 8.0.9, from 8.1.0 before 8.1.8, and from 8.2.0 before 8.2.4. Atlassian Bitbucket versions are affected before 7.6.16, from 7.7.0 before 7.17.8, from 7.18.0 before 7.19.5, from 7.20.0 before 7.20.2, from 7.21.0 before 7.21.2, and versions 8.0.0 and 8.1.0. Atlassian Confluence versions are affected before 7.4.17, from 7.5.0 before 7.13.7, from 7.14.0 before 7.14.3, from 7.15.0 before 7.15.2, from 7.16.0 before 7.16.4, from 7.17.0 before 7.17.4, and version 7.21.0. Atlassian Crowd versions are affected before 4.3.8, from 4.4.0 before 4.4.2, and version 5.0.0. Atlassian Fisheye and Crucible versions before 4.8.10 are affected. Atlassian Jira versions are affected before 8.13.22, from 8.14.0 before 8.20.10, and from 8.21.0 before 8.22.4. Atlassian Jira Service Management versions are affected before 4.13.22, from 4.14.0 before 4.20.10, and from 4.21.0 before 4.22.4.
Podatność wynika z nieprawidłowej obsługi ścieżek URL przez Servlet Filters (CWE-180 — błędna interpretacja nazwy zasobu), co umożliwia atakującemu spreparowanie żądania omijającego filtry odpowiedzialne za weryfikację tożsamości lub sanityzację danych wejściowych (CWE-287 — niewłaściwe uwierzytelnienie). Skutek zależy od tego, które filtry są wdrożone w danej aplikacji i w jaki sposób są przez nią wykorzystywane. Atlassian przyznaje, że nie wyliczył wyczerpująco wszystkich potencjalnych konsekwencji tej podatności.
Atakujący może ominąć mechanizmy uwierzytelnienia (authentication bypass) i uzyskać nieautoryzowany dostęp do zasobów aplikacji lub przeprowadzić atak cross-site scripting (XSS) na użytkowników. Pełny zakres skutków może być szerszy niż dotychczas udokumentowany przez Atlassian.
Należy jak najszybciej zaktualizować wszystkie podatne produkty do wersji zawierających poprawkę: Bamboo do 8.0.9, 8.1.8 lub 8.2.4; Bitbucket do 7.6.16, 7.17.8, 7.19.5, 7.20.2 lub 7.21.2; Confluence do 7.4.17, 7.13.7, 7.14.3, 7.15.2, 7.16.4 lub 7.17.4; Crowd do 4.3.8 lub 4.4.2; Fisheye/Crucible do 4.8.10; Jira do 8.13.22, 8.20.10 lub 8.22.4; Jira Service Management do 4.13.22, 4.20.10 lub 4.22.4. Szczegóły dostępne w referencjach producenta.
Atlassian Bamboo: wersje przed 8.0.9, od 8.1.0 przed 8.1.8, od 8.2.0 przed 8.2.4. Atlassian Bitbucket: wersje przed 7.6.16, od 7.7.0 przed 7.17.8, od 7.18.0 przed 7.19.5, od 7.20.0 przed 7.20.2, od 7.21.0 przed 7.21.2, oraz 8.0.0 i 8.1.0. Atlassian Confluence: wersje przed 7.4.17, od 7.5.0 przed 7.13.7, od 7.14.0 przed 7.14.3, od 7.15.0 przed 7.15.2, od 7.16.0 przed 7.16.4, od 7.17.0 przed 7.17.4, oraz 7.21.0. Atlassian Crowd: wersje przed 4.3.8, od 4.4.0 przed 4.4.2, oraz 5.0.0. Atlassian Fisheye i Crucible: wersje przed 4.8.10. Atlassian Jira: wersje przed 8.13.22, od 8.14.0 przed 8.20.10, od 8.21.0 przed 8.22.4. Atlassian Jira Service Management: wersje przed 4.13.22, od 4.14.0 przed 4.20.10, od 4.21.0 przed 4.22.4.
Atlassian wprost zastrzegł, że nie wyliczył wyczerpująco wszystkich potencjalnych konsekwencji podatności — rzeczywisty wpływ może być szerszy niż opisany. Dotyczy szerokiego portfolio produktów Atlassian, co znacząco zwiększa powierzchnię ataku w organizacjach korzystających z wielu produktów tego dostawcy jednocześnie.
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:HAtlassian Bamboo
APPAtlassian7.2.0 – 7.2.10 (bez)8.1.0 – 8.1.8 (bez)8.2.0 – 8.2.4 (bez)8.0.0 – 8.0.9 (bez)Atlassian Bitbucket
APPAtlassian8.0.08.1.07.20.0 – 7.20.2 (bez)7.21.0 – 7.21.2 (bez)7.7.0 – 7.17.8 (bez)7.18.0 – 7.19.5 (bez)< 7.6.16Atlassian Confluence Data Center
APPAtlassian7.18.07.5.0 – 7.13.7 (bez)7.14.0 – 7.14.3 (bez)7.15.0 – 7.15.2 (bez)7.16.0 – 7.16.4 (bez)7.17.0 – 7.17.4 (bez)< 7.4.17Atlassian Confluence Server
APPAtlassian7.18.07.5.0 – 7.13.7 (bez)< 7.4.177.14.0 – 7.14.3 (bez)7.15.0 – 7.15.2 (bez)7.16.0 – 7.16.4 (bez)7.17.0 – 7.17.4 (bez)Atlassian Crowd
APPAtlassian5.0.04.4.0 – 4.4.2 (bez)< 4.3.8Atlassian Crucible
APPAtlassian< 4.8.10Atlassian Fisheye
APPAtlassian< 4.8.10Atlassian Jira Data Center
APPAtlassian8.21.0 – 8.22.4 (bez)8.13.0 – 8.13.22 (bez)8.14.0 – 8.20.10 (bez)Atlassian Jira Server
APPAtlassian8.13.0 – 8.13.22 (bez)8.14.0 – 8.20.10 (bez)8.21.0 – 8.22.4 (bez)Atlassian Jira Service Desk
APPAtlassian< 4.13.22Atlassian Jira Service Management
APPAtlassian4.14.0 – 4.20.10 (bez)4.21.0 – 4.22.4 (bez)
Powiązane podatności
RCE via template injection w Atlassian Confluence Data Center i Server
Atlassian Confluence – Improper Authorization umożliwia przejęcie instancji
Atlassian Confluence – nieautoryzowane tworzenie kont administratora
Atlassian Questions For Confluence — ukryte konto z hardcoded hasłem
OGNL Injection RCE w Atlassian Confluence Server i Data Center