Tilkynnt hefur verið um alvarlega veikleika í Spring Cloud Data Flow, vCenter Server og Cloud Foundation hjá VMware, Bitbucket, Jira og Confluence hjá Atlassian og FortiManager hjá Fortinet. CERT-IS mælir með að uppfært sé eins fljótt og auðið er í útgáfu þar sem veikleikarnir hafa verið lagfærðir.
Spring Cloud Data Flow
Veikleikinn CVE-2024-37084 er með CVSSv3 veikleikastig upp á 9.8. Veikleikinn hefur verið lagfærður í útgáfu 2.11.4 [1].
VMware vCenter Server og Cloud Foundation
VMware hefur gefið út uppfærslu vegna veikleikanna CVE-2024-38812 og CVE-2024-38813 sem eru með CVSSv3 veikleikastig upp á 9.8 og 7.5. Veikleikarnir hafa verið lagfærðir í útgáfum 8.0 U3d, 8.0 U2e og 7.0 U3t í vCenter Server og í Async útgáfum til og með 8.0 U3d, til og með 8.0 U2e og til og með 7.0 U3t í Cloud Foundation [2].
Atlassian Bitbucket, Jira og Confluence
Atlassian hefur gefið út uppfærslur fyrir Bitbucket, Jira og Confluence vegnar sex veikleika og eru þeir með CVSSv3 veikleikastig frá 7.3 upp í 8.1. Veikleikinn CVE-2024-21147 í Bitbucket hefur verið lagfærður í útgáfum 9.2.1 (Data Center Only), 8.19.10 (LTS) og 8.9.20 (LTS). Veikleikarnir CVE-2024-4367, CVE-2022-31129, CVE-2022-24785 og CVE-2024-29131 í Confluence hafa verið lagfærðir í útgáfum 7.19.26 til 7.19.28 (LTS), 8.9.3 til 8.9.7 (Data Center Only), 8.5.11 til 8.5.16 (LTS) og öllum útgáfum frá og með 9.0.0. Veikleikinn CVE-2024-7254 í Jira hefur verið lagfærður í útgáfum 10.1.1 (Data Center Only), 5.17.4 (Data Center Only) og 5.12.14 (LTS) [3].
Fortinet FortiManager
Fortinet hafði samband við kúnna sýna í síðustu viku vegna veikleika sem nú þegar er verið að misnota. Ekki er mikið vitað annað en að veikleikinn er til staðar í FortiManager en getgátur eru um að veikleikinn CVE-2024-23113 sem kom út fyrr á árinu hafi einnig átti við um FortiManager [4].
Tilvísanir:
• [1] https://blog.sonicwall.com/en-us/2024/10/code-injection-in-spring-cloud-cve-2024-37084/
• [2] https://support.broadcom.com/web/ecx/support-content-notification/-/external/content/SecurityAdvisories/0/24968
• [3] https://confluence.atlassian.com/security/security-bulletin-october-15-2024-1442910972.html
• [4] https://www.helpnetsecurity.com/2024/10/21/fortimanager-critical-vulnerability/
