Laut einer Sicherheitsmitteilung des CERT-Bund können mehrere Schwachstellen in Atlassian‑Produkten ausgenutzt werden. Betroffen sind Bamboo, Bitbucket, Confluence, Crucible, Fisheye und Jira. Die Lücken ermöglichen die Ausführung von beliebigem Programmcode, Denial‑of‑Service‑Angriffe, die Offenlegung von Informationen, die Manipulation von Dateien, Cross‑Site‑Scripting, SQL‑Injection sowie das Umgehen von Sicherheitsvorkehrungen.
Betroffene Komponenten und Angriffsmöglichkeiten
Die Analyse beschreibt, dass Angreifer über speziell gestaltete Anfragen die genannten Produkte kompromittieren können. Durch die Code‑Ausführung lassen sich Schadprogramme auf betroffenen Systemen installieren. Der Denial‑of‑Service‑Mechanismus kann die Verfügbarkeit von Diensten stark einschränken.
Auswirkungen auf Datenintegrität und Vertraulichkeit
Durch die Möglichkeit, Dateien zu manipulieren, können Integritätsprüfungen unterlaufen werden. Die Offenlegung von Informationen betrifft sowohl interne Konfigurationsdaten als auch Benutzerdaten, die in den Systemen gespeichert sind.
Web‑bezogene Angriffe
Cross‑Site‑Scripting‑Schwachstellen erlauben das Einbringen von schädlichem JavaScript in die Weboberfläche der Produkte. SQL‑Injection‑Lücken ermöglichen den unautorisierten Zugriff auf Datenbanken, wodurch Daten gelesen, verändert oder gelöscht werden können.
Umgehung von Sicherheitsmechanismen
Einige der beschriebenen Schwachstellen können bestehende Authentifizierungs‑ und Autorisierungsprüfungen umgehen, wodurch Angreifer privilegierte Aktionen ausführen können, ohne vorherige Berechtigungen nachzuweisen.
Empfohlene Gegenmaßnahmen
Der CERT‑Bund rät Administratoren, die betroffenen Produkte unverzüglich zu patchen und, sofern verfügbar, die von Atlassian bereitgestellten Sicherheitspatches zu installieren. Zusätzlich sollten Netzwerk‑Firewalls so konfiguriert werden, dass verdächtiger Datenverkehr zu den betroffenen Diensten blockiert wird. Eine Überprüfung von Logdateien auf ungewöhnliche Aktivitäten wird ebenfalls empfohlen.
Dieser Bericht basiert auf Informationen von CERT-Bund, lizenziert unter Amtliches Werk gem. § 5 UrhG (Deutschland).
Ende der Uebertragung