Tilkynnt var um þrjá alvarlega veikleika í Confluence Data Center & Server og Bamboo Data Center & Server hjá Atlassian Veikleikarnir gefa ógnaraðila færi á að keyra kóða sem kerfisstjóri (e. remote code execution) [1,5]. CERT-IS þekkir ekki til að veikleikarnir séu misnotaðir enn sem komið er. CERT-IS mælir með að uppfært sé eins fljótt og auðið er í útgáfu þar sem veikleikinn hefur verið lagfærður.
Alvarlegir veikleikar
Confluence Data Center & Server
Veikleikarnir CVE-2023-22505 og CVE-2023-22508 eru með CVSSv3 skor upp á 8.0 og 8.5. Þeir gera ógnaraðila kleift að keyra kóða sem kerfisstjóri (e. remote code execution) [2,3]. Útgáfur 7.4.0 til og með 8.3.1 eru veik fyrir göllunum. Veikleikinn hefur verið lagfærður í 8.3.2, 8.4.0 eða nýrri útgáfum.
Bamboo Data Center & Server
Veikleikinn CVE-2023-22506 með CVSSv3 skor uppá 7.5 gerir ógnaraðila kleift að keyra kóða sem kerfisstjóri (e. remote code execution) [4]. Útgáfur 8.0.0 til og með 9.2.2 eru veik fyrir göllunum. Veikleikinn hefur verið lagfærður í 9.2.3, 9.3.1 eða nýrri útgáfum.
Tilvísanir:
[1] https://confluence.atlassian.com/security/security-bulletin-july-18-2023-1251417643.html
[2] https://www.cve.org/CVERecord?id=CVE-2023-22505
[3] https://www.cve.org/CVERecord?id=CVE-2023-22508
[4] https://www.cve.org/CVERecord?id=CVE-2023-22506
[5] https://www.cisa.gov/news-events/alerts/2023/07/21/atlassian-releases-security-updates
