Popravek ASAP: Max-Critical Atlassian Bug dovoljuje nepreverjeno RCE

Največja kritična ranljivost nepreverjenega oddaljenega izvajanja kode (RCE) vpliva na Atlassian Confluence Data Center in Confluence Server v vseh različicah, izdanih pred 5. decembrom. Organizacije brez popravkov bi se morale pripraviti na obrambo pred vsem, od kampanj z izsiljevalsko programsko opremo do poskusov kibernetskega vohunjenja.

hrošč (CVE-2023-22527), ki nosi oceno resnosti ranljivosti 10 od 10 na lestvici CVSS v3, je ranljivost vbrizgavanja predloge, ki utira pot nepreverjenim napadalcem, da dosežejo RCE na različicah 8.0.x, 8.1.x, 8.2.x, 8.3. x, 8.4.x in 8.5.0 do 8.5.3.

Hrošči pestijo večino različic Confluence

Vsaka organizacija, ki je nadgradila na Različice Confluence, izdane v decembrski posodobitvi podjetja so jasne, čeprav je bila napaka razkrita ravno danes, skupaj z več manj resnimi ranljivostmi, ki so bile na novo zakrpane v nov varnostni bilten.

Atlassian je opozoril, da to vpliva tudi na primerke ob koncu življenjske dobe (različica 8.4.5 in prej) in ne bodo prejeli popravkov.

Ni na voljo nobenih ublažitev ali rešitev, zato morajo skrbniki uporabiti najnovejše različice iz prejšnjega meseca, da bodo popolnoma zaščiteni, tudi če njihove različice Confluence niso izpostavljene internetu. Primerki v oblaku niso prizadeti.

Tistim, ki ne morejo takoj popraviti svojih instanc podatkovnega centra Confluence in strežnika, Atlassian priporoča, da odstranijo svoje sisteme iz interneta in varnostno kopirajo svoje podatke zunaj okolja Confluence.

Napadi Atlassian CVE-2023-22527 so lahko obsežni

Podjetje je predlagalo tudi spremljanje kakršne koli morebitne zlonamerne dejavnosti (seveda), vendar je navedeno v svojem varnostno svetovanje o CVE-2024-22527 da "možnost več vstopnih točk, skupaj z verižnimi napadi, otežuje seznam vseh možnih indikatorjev ogroženosti."

Skrbniki naj upoštevajo: hrošči Atlassian Confluence so na splošno priljubljen v krogu kibernetske kriminalitete, glede na to, da platforma sega globoko v omrežna okolja in se uporablja za sodelovanje med podjetji, potek dela in razvoj programske opreme. Še ena 10 od 10 kritičnih napak v novembru je bil poln poskusov izkoriščanja v nekaj dneh po njegovem razkritju in verjetno bo enako veljalo za tega, če je preteklost prolog; z Atlassian, običajno je.

• Distribucija vsebine in PR s pomočjo SEO. Okrepite se še danes.
• PlatoData.Network Vertical Generative Ai. Opolnomočite se. Dostopite tukaj.
• PlatoAiStream. Web3 Intelligence. Razširjeno znanje. Dostopite tukaj.
• PlatoESG. Ogljik, CleanTech, Energija, Okolje, sončna energija, Ravnanje z odpadki. Dostopite tukaj.
• PlatoHealth. Obveščanje o biotehnologiji in kliničnih preskušanjih. Dostopite tukaj.
• vir: https://www.darkreading.com/application-security/patch-max-critical-atlassian-bug-unauthenticated-rce