jeudi, 28 mars 2024

Atlassian corrige des failles critiques dans Bitbucket et Crowd Server

Les deux failles de sécurité ont un score d’intensité de 9 et affectent diverses variantes des produits. Le problème Crowd Server and Data Center est suivi en tant que CVE-2022-43782 et inclut une mauvaise configuration qui permet à un ennemi d’éviter les vérifications de mot de passe tout en reconnaissant comme l’application Crowd et en visitant les points de terminaison privilégiés de l’API.

Présenté dans la version 3.0

Selon Atlassian, l’exploitation est envisageable dans des conditions particulières. L’une consiste à personnaliser la configuration de l’adresse distante pour inclure une adresse IP autorisée, qui diffère du paramètre par défaut (aucun).

Dans une alerte de sécurité, Atlassian avertit que cela pourrait permettre aux ennemis d’atteindre les terminaux dans l’API REST de Crowd. sous le chemin de gestion des utilisateurs. Les versions Crowd 3.0.0 à 3.7.2, 4.0.0 à 4.4.3 et 5.0.0 à 5.0.2 sont concernées. Les versions 5.0.3 et 4.4.4 de Crowd ne sont pas modifiées.

Atlassian ne résoudra pas le problème dans la variante 3.0.0 étant donné que la version a atteint la phase de support en fin de vie.

Comme toujours, mettez à jour immédiatement

La vulnérabilité affectant Bitbucket Server et le centre d’information a été lancée dans la variante 7.0 du produit et s’appelle CVE-2022-43781. Le défaut est un bogue d’injection de commande qui permet à un adversaire ayant accès au nom d’utilisateur du système ciblé d’exécuter du code dans certains scénarios.

Toutes les variations de 7.0 à 7.21 sont affectées quelles que soient les configurations. Les variantes 8.0 à 8.4 ne sont impactées que lorsque la fonction ‘mesh.enabled’ est arrêtée dans ‘bitbucket.properties’.

CVE-2022-43781 n’affecte pas les instances PostgreSQL ou celles hébergées par Atlassian (accessibles à l’aide un domaine bitbucket.org). Les utilisateurs incapables de mettre à niveau vers les variantes corrigées doivent fermer « l’inscription publique », ce qui nécessite que le pirate confirme l’utilisation de qualifications authentiques, réduisant ainsi le risque d’attaque.

Toute l’actualité en temps réel, est sur L’Entrepreneur

LAISSER UN COMMENTAIRE

S'il vous plaît entrez votre commentaire!
S'il vous plaît entrez votre nom ici