-----BEGIN PGP SIGNED MESSAGE-----
Hash: SHA256

CAIS-Alerta [22-05-2024] Multiplas Vulnerabilidades Atlassian

Prezados(as),
O CAIS alerta a comunidade de segurança cibernética para vulnerabilidades críticas divulgadas pela Atlassian em seu boletim mensal, reportando falhas recentemente identificadas nas soluções Bamboo Data Center and Server, Bitbucket Data Center and Server, Confluence Data Center and Server, Crowd Data Center and Server, Jira Data Center and Server e Jira Service Management Data Center and Server, sendo as mais severas relacionadas a SQL Injection, destacamos vulnerabilidades críticas CVE-2024-1597 e CVE-2023-4759.
 
O CAIS recomenda fortemente que os administradores de ambientes que utilizam esta solução, acessem o boletim do fornecedor para ciência e análise das vulnerabilidades listadas.
Abaixo destacamos as vulnerabilidades críticas que foram reportadas recentemente, sendo CVE-2024-1597 presente em duas soluções.

Confluence (Data Center e Servidor): é uma solução colaborativa de troca de informações, fornecendo um ambiente de integração entre equipes e usuários no compartilhamento de dados.

1) Produtos e versões afetadas;
2) Identificadores CVE (http://cve.mitre.org);
3) Descrição das vulnerabilidades, versões afetadas e formas de exploração;
4) Mitigação e correções disponíveis; e
5) Mais Informações.


1) Produtos e versões afetadas:

CVE-2024-1597 - Confluence Data Center and Server, nas seguintes versões:
8.9.0
8.8.0 to 8.8.1
8.7.1 to 8.7.2
8.6.0 to 8.6.2
8.5.0 to 8.5.8 (LTS)
8.4.0 to 8.4.5
8.3.0 to 8.3.4
8.2.0 to 8.2.3
8.1.0 to 8.1.4
8.0.0 to 8.0.4
7.20.0 to 7.20.3
7.19.0 to 7.19.21 (LTS)

CVE-2024-1597 - Jira Data Center and Server, nas seguintes versões:
9.14.0 to 9.14.1
9.13.0 to 9.13.1
9.12.0 to 9.12.6 (LTS)
9.11.0 to 9.11.3
9.10.0 to 9.10.2
9.9.0 to 9.9.2
9.8.0 to 9.8.2
9.7.0 to 9.7.2
9.6.0
9.5.0 to 9.5.1
9.4.0 to 9.4.19 (LTS)
9.3.0 to 9.3.3
9.2.0 to 9.2.1
9.1.0 to 9.1.1
9.0.0

CVE-2023-4759 - Bamboo Data Center and Server, nas seguintes versões:
9.5.0 to 9.5.1
9.4.0 to 9.4.4
9.3.0 to 9.3.6
9.2.1 to 9.2.13 (LTS)
9.1.0 to 9.1.3
9.0.0 to 9.0.4


2) Identificadores CVE (http://cve.mitre.org):

CVE-2024-1597 - CVSS Score de 10,0
CVE-2023-4759 - CVSS Score de 8,8


3) Descrição das vulnerabilidades:

Segundo comunicado da Atlassian, foram identificadas multiplas vulnerabilidades nas soluções supracitadas, que possibilitam diversas explorações, como RCE (Remote Code Execution), SSRF (Server-Side Request Forgery), SQL Injection, dentre outras que podem levar ao comprometimento das instâncias vulneráveis e perda de dados.

4) Mitigação e correções disponíveis:

O fornecedor do produto recomenda a atualização das instâncias vulneráveis para as últimas versões disponíveis, ou aplicação das correções específicas. Para mais informações acesse os links abaixo.


5) Mais informações:
https://confluence.atlassian.com/security/security-bulletin-may-21-2024-1387867145.html
https://nvd.nist.gov/vuln/detail/CVE-2024-1597


O CAIS recomenda que os administradores mantenham seus sistemas e aplicativos sempre atualizados, de acordo com as últimas versões e correções oferecidas pelos fabricantes.

Os alertas do CAIS também podem ser acompanhados pelas redes sociais da RNP. Siga-nos!!
Twitter: @caisRNP
Facebook: facebook.com/RedeNacionaldeEnsinoePesquisaRNP.

################################################################
#   CENTRO DE ATENDIMENTO A INCIDENTES DE SEGURANCA (CAIS)     #
#       Rede Nacional de Ensino e Pesquisa (RNP)               #
#                                                              #
# cais@cais.rnp.br       https://cais.rnp.br/                  #
# Tel. 019-37873300      Fax. 019-37873301                     #
# Chave PGP disponível   https://www.rnp.br/cais/cais-pgp.key  #
################################################################
-----BEGIN PGP SIGNATURE-----
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=PcVB
-----END PGP SIGNATURE-----