Für die Atlassian Produkte Bamboo, Confluence und Crowd wurden insgesamt 16 Sicherheitslücken mit CVSS-Scores von 7,5 und höher kommuniziert. Updates stehen bereit und sollten von IT- beziehungsweise Atlassian-Administratoren zeitnah installiert werden.

Sicherheitslücke Bamboo

Der Großteil der Sicherheitslücken, die Atlassian im Security Bulletin für Februar kommuniziert, sind in Confluence und Crowd zu finden. Für Bamboo nennt der Hersteller nur eine Sicherheitslücke, die mit einem CVSS-Score von 8.6 bewertet wurde. Ein nicht-authentifizierter Angreifer kann über eine Schwachstelle HTML- oder Java-Script Code auf dem Browser seiner Zielperson ausführen. Betroffen sind die folgenden Versionen:

• 12.1.0 (LTS)
• 12.0.1 to 12.0.2
• 11.0.7 to 11.0.8
• 10.2.9 to 10.2.13 (LTS)

Confluence und Crowd mit zahlreichen Lücken

Für Confluence existieren sechs Sicherheitslücken, die alle einen „hohen“ CVSS-Score haben. Vier dieser Lücken erlauben Angreifern DoS-Angriffe (Denial of Service), die das System kompromittieren oder ausfallen lassen können. Eine andere Sicherheitslücke ermöglicht nicht-authentifizierten Angreifern weitreichende Zugriffe zu erlangen, mit denen sie sensible Daten einsehen könnten oder auch Schadcode ausführen könnten. Die sechste und mit 8.7 am höchsten eingestufte Lücke kann dazu führen, dass Angreifer lokale Dateien des Zielsystems einsehen und gegebenenfalls ausführen können.

Mit neun Sicherheitslücken, darunter drei kritischen, ist Crowd am stärksten betroffen. Eine Schwachstelle mit CVSS-Score 9.8, die keine User-Interaktion voraussetzt, ermöglicht nicht-authentifizierten Angreifern auf remote- und lokale Inhalte zuzugreifen – Datenverlust und Systemabstürze sind möglichen Folgen. Weitere Schwachstellen können ebenfalls Systemausfälle (DoS) auslösen, andere erlauben die Modifikation von System-Aktionen.

IT-Administratoren, die Crowd, Bamboo oder Confluence nutzen, sollten sich zeitnah bei Atlassian (siehe Weiterführende Links) über die Details informieren und die entsprechenden Updates einleiten.

Schnelligkeit zählt bei Sicherheits-Updates

Sicherheitslücken werden von Herstellern in der Regel erst kommuniziert, wenn Lösungen dafür bereit stehen – aus gutem Grund: Sobald die Sicherheitslücken öffentlich gemacht werden, wissen auch potenzielle Angreifer darüber Bescheid. Deshalb ist es grundsätzlich ratsam sich regelmäßig über Sicherheitslücken und verfügbare Updates der im Unternehmen eingesetzten Soft- und Hardware zu informieren.