HackerNews 编译，转载请注明出处： Atlassian和Cisco本周宣布为其产品中的多个高危漏洞提供补丁，其中包括可导致远程代码执行的缺陷。 Atlassian发布了七项更新，修复了Bamboo、Confluence和Jira中影响第三方依赖项的四个高危漏洞，其中部分漏洞早在近六年前就已公开披露。针对Bamboo数据中心与服务器版、Jira数据中心与服务器版以及Jira服务管理数据中心与服务器版的修复程序，解决了Netplex Json-smart中未经认证即可被利用的拒绝服务（DoS）问题。该安全缺陷编号为CVE-2024-57699。 针对Jira及Jira服务管理的安全更新还修复了一个可导致DoS的XXE（XML外部实体注入）漏洞，编号为CVE-2021-33813。 Confluence数据中心与服务器版修复了两个漏洞，包括Netty应用框架中的DoS漏洞（编号CVE-2025-24970），以及libjackson-json-java库中的XXE漏洞（CVE-2019-10172）。 Atlassian未提及这些漏洞在现实中被利用的情况。 周三，Cisco为Webex App、安全网络分析系统（Secure Network Analytics）和Nexus Dashboard中的三个安全缺陷提供了补丁。 Webex App修复了一个高危漏洞（编号CVE-2025-20236）。攻击者可诱使用户点击特制会议邀请链接并下载任意文件，从而远程执行任意代码。针对安全网络分析系统7.5.0、7.5.1和7.5.2版本的更新修复了一个中危问题，该漏洞允许经过认证的攻击者获取具有root权限的shell访问。 在Nexus Dashboard中，Cisco修复了一个中危漏洞，未经认证的远程攻击者可借此验证有效LDAP用户账号的用户名。 Cisco表示目前未发现这些漏洞在现实中被利用。更多信息可查阅该公司安全公告页面。     消息来源：securityweek；  本文由 HackerNews.cc 翻译整理，封面来源于网络；  转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 澳大利亚软件公司 Atlassian 修复了 Bamboo、Bitbucket、Confluence、Crowd 和 Jira 产品中的 12 个关键和高危漏洞。 Atlassian 发布了安全补丁，以解决这些产品中的漏洞。其中最严重的漏洞包括： CVE-2024-50379（CVSS 评分为 9.8）：Confluence Data Center 和 Server 中的 Apache Tomcat 依赖项存在远程代码执行（RCE）漏洞。该漏洞是 Apache Tomcat 中的一个 TOCTOU 竞态条件，允许在大小写不敏感的文件系统上通过非默认的写启用 servlet 进行 RCE。受影响版本：9.0.0.M1-9.0.97、10.1.0-M1-10.1.33、11.0.0-M1-11.0.1。更新至 9.0.98、10.1.34 或 11.0.2。 CVE-2024-56337（CVSS 评分为 9.8）：Confluence Data Center 和 Server 中的 Apache Tomcat 依赖项存在 RCE 漏洞。该漏洞是 Apache Tomcat 的 TOCTOU 漏洞，由对 CVE-2024-50379 的不完全缓解引起。受影响版本：9.0.0-M1–9.0.97、10.1.0-M1–10.1.33、11.0.0-M1–11.0.1。需要在大小写不敏感的文件系统上进行额外配置。修复版本：Tomcat 9.0.99、10.1.35 和 11.0.3。 CVE-2024-52316（CVSS 评分为 9.8）：Crowd Data Center 和 Server 中的 Apache Tomcat 依赖项存在认证绕过和会话管理（BASM）漏洞。Apache Tomcat 的 Jakarta Authentication 中的一个未检查错误可能导致认证绕过，如果自定义 ServerAuthContext 在未设置 HTTP 状态的情况下失败。受影响版本：9.0.0-M1–9.0.95、10.1.0-M1–10.1.30、11.0.0-M1–11.0.0-M26。更新至 9.0.96、10.1.31 或 11.0.0。 Atlassian 未披露这些漏洞是否已在野外被利用。   消息来源：Security Affairs； 本文由 HackerNews.cc 翻译整理，封面来源于网络；   转载请注明“转自 HackerNews.cc”并附上原文

近期，Atlassian发布了安全更新，以解决Confluence服务器和数据中心中的一个严重硬编码凭据漏洞，该漏洞编号为CVE-2022-26138，未经身份验证的远程攻击者可以利用该漏洞登录未打补丁的服务器。一旦安装了Questions for Confluence 应用程序（版本 2.7.34、2.7.35 和 3.0.2），就会创建一个用户名为“ disabledsystemuser ”的 Confluence 用户帐户。根据 Atlassian的说法，该帐户允许管理员将数据从应用程序迁移到Confluence Cloud。并且该帐户是使用硬编码密码创建的，并被添加到 confluence-users组，默认情况下允许查看和编辑 Confluence中的所有非受限页面。 根据Atlassian 发布的公告，当Confluence Server或Data Center上的Questions for Confluence 应用程序启用时，它会创建一个用户名为 disabledsystemuser 的 Confluence 用户帐户。此帐户旨在帮助将数据从应用程序迁移到 Confluence Cloud 的管理员。disabledsystemuser 帐户是使用硬编码密码创建的，并被添加到 confluence-users 组中，默认情况下允许查看和编辑 Confluence 中的所有非受限页面 。 知道硬编码密码的未经身份验证的攻击者可以利用它登录 Confluence 并访问该组可以访问的任何页面。 该公司指出，卸载Questions for Confluence 应用程序并不能解决此漏洞，因为在卸载应用程序后，disabledsystemuser 帐户不会被删除。受影响的 Confluence Server 或 Data Center 实例的管理员可以通过以下操作修复此漏洞： 选项 1：更新到 Confluence 的非易受攻击版本 选项 2：禁用或删除 disabledsystemuser 帐户 幸运的是，目前Atlassian并没有收到利用此漏洞进行的野外攻击。要确定是否有人使用硬编码密码登录到 disabledsystemuser 帐户，管理员可以获取用户上次登录时间的列表，如果硬编码帐户的上次身份验证时间为空，则意味着该帐户从未用于访问设备。 转自 FreeBuf，原文链接：https://www.freebuf.com/articles/339843.html 封面来源于网络，如有侵权请联系删除

Atlassian Confluence 协作软件的用户昨天被警告要么限制对该软件的互联网访问，要么由于一个严重的漏洞而禁用它。 Atlassian于6月2日发布的一份公告称，已检测到“当前活跃的利用”。该公告现已更新，以反映该公司已发布版本 7.4.17、7.13.7、7.14.3、7.15.2、7.16.4、7.17.4 和 7.18.1，其中包含对此的修复问题。建议用户更新到这些版本。 美国网络安全和基础设施局 (CISA) “强烈建议组织查看Confluence 安全公告 2022-06-02以获取更多信息。CISA 敦促使用受影响的 Atlassian 的 Confluence 服务器和数据中心产品的组织阻止所有进出这些设备的互联网流量，直到更新可用并成功应用。” 如果没有来自公司防火墙外部的 VPN 访问，阻止访问将使协作变得不可能。在有如此多的远程工作的时候，这可能会带来极大的不便，或者可能会使远程工作人员无法使用该软件。鉴于 Atlassian 的网站声称 Confluence 在全球拥有超过 60,000 名用户，这可能会对大量公司造成非常严重的影响。 安全公司 Volexity 检测到该漏洞并将其报告给 Atlassian。Volexity 在其网站的博客中发布了他们的分析。 根据 Volexity 的说法，“攻击者使用了一个零日漏洞，现在分配了 CVE-2022-26134，它允许在服务器上执行未经身份验证的远程代码。” 分析继续警告说“这些类型的漏洞是危险的，因为只要可以向 Confluence Server 系统发出 Web 请求，攻击者就可以在没有凭据的情况下执行命令并完全控制易受攻击的系统。” 攻击者部署了BEHINDER植入程序的内存副本。Veloxity 指出，“这是一个广受欢迎的网络服务器植入程序，源代码可在 GitHub上找到。”BEHINDER 允许攻击者使用仅内存的 webshell，内置支持与Meterpreter和Cobalt Strike的交互。 在内存中植入BEHINDER特别危险，因为它允许攻击者执行指令而无需将文件写入磁盘。由于它没有持久性，因此重新启动或服务重新启动会将其清除。然而，在此之前，攻击者可以访问服务器并执行命令，而无需将后门文件写入磁盘。 Atlassian最初的建议表明所有受支持的Confluence Server和Data Center版本都受到了影响，并重复了限制对Internet的访问或禁用Confluence Server的建议。该公司现在表示，没有任何Atlassian Cloud站点受到影响，并且所有受影响的客户都已收到修复通知。   转自 E安全，原文链接：https://mp.weixin.qq.com/s/OUwDJD41OSgXaEfXFOUQng 封面来源于网络，如有侵权请联系删除

Atlassian解决了其Jira Seraph软件中的一个严重漏洞，该漏洞编号为CVE-2022-0540（CVSS 评分 9.9），未经身份验证的攻击者可以利用该漏洞绕过身份验证。威胁参与者可以通过向易受攻击的软件发送特制的HTTP 请求来触发漏洞。 该漏洞会对Jira软件多版本产生影响，比如：8.13.18之前的Atlassian Jira Server、Data Center版本、8.14.0到8.20.6之间的版本、8.21.0到8.22.0之间的版本。该漏洞还影响 4.13.18 之前的Atlassian Jira Service Management Server和Data Center版本、4.14.0到4.20.6之间的版本、4.21.0到4.22.0之间的版本。 根据公司发布的相关公告，Jira和Jira Service Management容易受到其Web身份验证框架中的身份验证绕过的攻击。尽管该漏洞位于Jira的核心，但它会影响在webwork1操作命名空间需要特定角色的第一方和第三方应用程序。对于被影响的特定操作，该操作还不需要执行任何其他身份验证或授权检查。远程、未经身份验证的攻击者可以通过发送特制的HTTP请求来利用这一点，以使用受影响的配置绕过WebWork操作中的身份验证和授权要求。 该公司为那些无法安装固定版本的Jira或Jira Service Management并使用任何受影响的应用程序的用户提供了缓解措施。它建议用户将任何受影响的应用程序更新到不受影响的版本。使用“确定受影响的应用程序”部分中列出的任何应用程序以及受影响的所有应用程序版本的客户可以通过禁用该应用程序来降低安全风险，直到他们能够安装Jira或Jira Service Management的固定版本。 该漏洞由Viettel Cyber Security的Khoadha报告。9月，趋势科技研究人员在Windows和Linux 的Atlassian Confluence部署中发现了正在积极利用另一个关键远程代码执行漏洞的加密挖掘活动，该漏洞编号为CVE-2021-26084 。   转自 FreeBuf，原文链接：https://www.freebuf.com/news/330970.html 封面来源于网络，如有侵权请联系删除