Crowd
Уязвимости
28
Эксплуатируемые
1
Макс. CVSS
9.8
Макс. EPSS
0.95355
Распределение по критичности
Критический
7
Высокий
11
Средний
10
Низкий
0
Затронутые диапазоны версий
1.5.0–3.1.22.1.0–3.0.53.0.0–4.4.43.4.0–5.1.67.1.0–7.1.3< 2.0.9< 2.10.1< 2.10.2< 2.9.1< 3.0.2< 3.1.1< 3.2.11< 3.2.7< 3.4.3< 3.4.6< 3.6.0< 4.0.4< 4.3.8≤ 2.8.4
Также сопоставлено как (исходные строки): crucible,jira_service_management,bamboo,jira_service_desk,crowd,fisheye,jira_data_center,jira_server,confluence_server,bitbucket,jira,confluence_data_center
Топ уязвимостей
CVE-2022-43782Уязвимые версии Atlassian Crowd позволяют злоумышленнику аутентифицироваться как приложение crowd через неправильную конфигурацию безопасности и последующую возможность вызывать привилегированные конечные точки в REST API Crowd по пути {{usermanagement}}. Эта уязвимость может быть использована только IP-адресами, указанными в списке разрешенных приложения crowd в конфигурации Remote Addresses, который по умолчанию имеет значение {{none}}. Уязвимые версии - все версии 3.x.x, версии 4.x.x до версии 4.4.4 и версии 5.x.x до 5.0.3.
CVE-2022-26136Уязвимость в нескольких продуктах Atlassian позволяет удаленному не прошедшему проверку подлинности злоумышленнику обходить фильтры сервлетов, используемые собственными и сторонними приложениями. Воздействие зависит от того, какие фильтры используются каждым приложением и как эти фильтры используются. Эта уязвимость может привести к обходу аутентификации и межсайтовому скриптингу. Atlassian выпустила обновления, устраняющие основную причину этой уязвимости, но не перечислила исчерпывающим образом все потенциальные последствия этой уязвимости. Версии Atlassian Bamboo затронуты до 8.0.9, с 8.1.0 до 8.1.8 и с 8.2.0 до 8.2.4. Версии Atlassian Bitbucket затронуты до 7.6.16, с 7.7.0 до 7.17.8, с 7.18.0 до 7.19.5, с 7.20.0 до 7.20.2, с 7.21.0 до 7.21.2 и версии 8.0.0 и 8.1.0. Версии Atlassian Confluence затронуты до 7.4.17, с 7.5.0 до 7.13.7, с 7.14.0 до 7.14.3, с 7.15.0 до 7.15.2, с 7.16.0 до 7.16.4, с 7.17.0 до 7.17.4 и версия 7.21.0. Версии Atlassian Crowd затронуты до 4.3.8, с 4.4.0 до 4.4.2 и версия 5.0.0. Версии Atlassian Fisheye и Crucible до 4.8.10 затронуты. Версии Atlassian Jira затронуты до 8.13.22, с 8.14.0 до 8.20.10 и с 8.21.0 до 8.22.4. Версии Atlassian Jira Service Management затронуты до 4.13.22, с 4.14.0 до 4.20.10 и с 4.21.0 до 4.22.4.
CVE-2019-11580Atlassian Crowd и Crowd Data Center имели неправильно включенный плагин разработки pdkinstall в сборках выпуска. Нападающие, которые могут отправлять неаутентифицированные или аутентифицированные запросы к экземпляру Crowd или Crowd Data Center, могут использовать эту уязвимость для установки произвольных плагинов, что разрешает удаленное выполнение кода на системах, работающих на уязвимой версии Crowd или Crowd Data Center. Все версии Crowd с версии 2.1.0 до 3.0.5 (исправленная версия для 3.0.x), с версии 3.1.0 до 3.1.6 (исправленная версия для 3.1.x), с версии 3.2.0 до 3.2.8 (исправленная версия для 3.2.x), с версии 3.3.0 до 3.3.5 (исправленная версия для 3.3.x) и с версии 3.4.0 до 3.4.4 (исправленная версия для 3.4.x) подвергаются этой уязвимости.
CVE-2016-6496Коннектор каталога LDAP в Atlassian Crowd до версий 2.8.8 и 2.9.x до 2.9.5 позволяет удаленным злоумышленникам выполнять произвольный код через атрибут LDAP со специально созданным сериализованным Java-объектом, также известным как отравление записи LDAP.
BDU:2022-06964Уязвимость прикладного программного интерфейса REST программного продукта обработки данных Atlassian Crowd связана с ошибками при проведении процедуры аутентификации. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, повысить свои привилегии
BDU:2020-02109Уязвимость плагина pdkinstall системы аутентификации и управления пользователями Atlassian Crowd существует из-за недостаточной проверки входных данных. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, выполнить произвольный код
CVE-2012-2926Atlassian JIRA до 5.0.1; Confluence до 3.5.16, 4.0 до 4.0.7 и 4.1 до 4.1.10; FishEye и Crucible до 2.5.8, 2.6 до 2.6.8 и 2.7 до 2.7.12; Bamboo до 3.3.4 и 3.4.x до 3.4.5; и Crowd до 2.0.9, 2.1 до 2.1.2, 2.2 до 2.2.9, 2.3 до 2.3.7 и 2.4 до 2.4.1 неправильно ограничивают возможности сторонних XML-парсеров, что позволяет удаленным злоумышленникам читать произвольные файлы или вызывать отказ в обслуживании (потребление ресурсов) через неуказанные векторы.
CVE-2023-22521Эта уязвимость типа RCE (удаленное выполнение кода) высокой степени серьезности появилась в версии 3.4.6 Crowd Data Center и Server.
Эта уязвимость типа RCE (удаленное выполнение кода) с оценкой CVSS 8.0 позволяет аутентифицированному злоумышленнику выполнять произвольный код, что оказывает высокое воздействие на конфиденциальность, высокое воздействие на целостность, высокое воздействие на доступность и не требует взаимодействия с пользователем.
Atlassian рекомендует клиентам Crowd Data Center и Server обновить версию до последней, если вы не можете этого сделать, обновите свой экземпляр до одной из указанных поддерживаемых исправленных версий:
Crowd Data Center и Server 3.4: Обновите до версии, большей или равной 5.1.6
Crowd Data Center и Server 5.2: Обновите до версии, большей или равной 5.2.1
См. примечания к выпуску ([https://confluence.atlassian.com/crowd/crowd-release-notes-199094.html]). Вы можете загрузить последнюю версию Crowd Data Center и Server из центра загрузки ([https://www.atlassian.com/software/crowd/download-archive]).
Об этой уязвимости сообщил m1sn0w через нашу программу Bug Bounty.
CVE-2022-26137Уязвимость в нескольких продуктах Atlassian позволяет удаленному не прошедшему проверку подлинности злоумышленнику вызывать дополнительные фильтры сервлетов при обработке приложением запросов или ответов. Atlassian подтвердила и исправила единственную известную проблему безопасности, связанную с этой уязвимостью: обход Cross-origin resource sharing (CORS). Отправка специально созданного HTTP-запроса может вызвать фильтр сервлетов, используемый для ответа на запросы CORS, что приведет к обходу CORS. Злоумышленник, который может обманом заставить пользователя запросить вредоносный URL-адрес, может получить доступ к уязвимому приложению с разрешениями жертвы. Версии Atlassian Bamboo затронуты до 8.0.9, с 8.1.0 до 8.1.8 и с 8.2.0 до 8.2.4. Версии Atlassian Bitbucket затронуты до 7.6.16, с 7.7.0 до 7.17.8, с 7.18.0 до 7.19.5, с 7.20.0 до 7.20.2, с 7.21.0 до 7.21.2 и версии 8.0.0 и 8.1.0. Версии Atlassian Confluence затронуты до 7.4.17, с 7.5.0 до 7.13.7, с 7.14.0 до 7.14.3, с 7.15.0 до 7.15.2, с 7.16.0 до 7.16.4, с 7.17.0 до 7.17.4 и версия 7.21.0. Версии Atlassian Crowd затронуты до 4.3.8, с 4.4.0 до 4.4.2 и версия 5.0.0. Версии Atlassian Fisheye и Crucible до 4.8.10 затронуты. Версии Atlassian Jira затронуты до 8.13.22, с 8.14.0 до 8.20.10 и с 8.21.0 до 8.22.4. Версии Atlassian Jira Service Management затронуты до 4.13.22, с 4.14.0 до 4.20.10 и с 4.21.0 до 4.22.4.
CVE-2018-20238Различные ресурсы rest в Atlassian Crowd до версии 3.2.7 и с версии 3.3.0 до версии 3.3.4 позволяют удаленным злоумышленникам проходить аутентификацию с использованием истекшего сеанса пользователя через уязвимость недостаточного срока действия сеанса.
CVE-2017-18105Ресурс console login в Atlassian Crowd до версии 3.0.2 и с версии 3.1.0 до версии 3.1.1 позволяет удаленным злоумышленникам, которые ранее получили cookie JSESSIONID пользователя, получить доступ к некоторым встроенным и потенциально сторонним ресурсам rest через уязвимость фиксации сеанса.
CVE-2026-21569Эта уязвимость высокой степени тяжести XXE (XML External Entity Injection) была введена в версии 7.1.0 Crowd Data Center и Server.
Эта уязвимость XXE (XML External Entity Injection) с баллом CVSS 7,9 позволяет аутентифицированному злоумышленнику получить доступ к локальному и удаленному контенту, который оказывает большое влияние на конфиденциальность, низкое воздействие на целостность, высокое влияние на доступность и не требует взаимодействия с пользователем.
Atlassian рекомендует клиентам Crowd Data Center и Server обновиться до последней версии, если вы не можете этого сделать, обновить свой экземпляр до одной из указанных поддерживаемых фиксированных версий:
* Центр обработки данных Crowd и Server 7.1: Обновление до релиза, превышающего или равный 7.1.3
См. примечания к выпуску (https://confluence.atlassian.com/crowd/crowd-release-notes-190994.html). Вы можете скачать последнюю версию Crowd Data Center и Server из центра загрузки (https://www.atlassian.com/software/crowd/download-archive).
Об этой уязвимости сообщалось через нашу программу Atlassian (Internal).
CVE-2019-20902Обновление Crowd через XML Data Transfer может повторно активировать отключенного пользователя из OpenLDAP. Затронуты версии до версии 3.4.6 и с 3.5.0 до 3.5.1.
CVE-2019-20104Клиентское приложение OpenID в Atlassian Crowd до версии 3.6.2 и с версии 3.7.0 до 3.7.1 позволяет удаленным злоумышленникам выполнять атаку типа «отказ в обслуживании» через уязвимость XML Entity Expansion.
CVE-2017-18106identifier_hash для токена сеанса в Atlassian Crowd до версии 2.9.1 потенциально может столкнуться с identifier_hash для другого пользователя или пользователя в другом каталоге, это позволяет удаленным злоумышленникам, которые могут пройти аутентификацию в Crowd или приложении, использующем Crowd для аутентификации, получить доступ к сеансу другого пользователя, при условии, что они могут заставить свой хэш идентификатора столкнуться с хэшем идентификатора сеанса другого пользователя.
CVE-2013-3926Atlassian Crowd 2.6.3 позволяет удаленным злоумышленникам выполнять произвольные команды через неуказанные векторы, связанные с "симметричным бэкдором". ПРИМЕЧАНИЕ: по состоянию на 20130704, поставщик не смог воспроизвести проблему, заявив: "Мы не смогли подтвердить существование [CVE-2013-3926]. Автор статьи не связывался с Atlassian и не предоставил никаких деталей, что затрудняет проверку утверждения... Если мы сможем подтвердить наличие уязвимости, будет выпущен патч".
BDU:2022-04675Уязвимость компонента Servlet Filter программных продуктов обработки данных Atlassian Jira, Jira Service Management, Confluence, Bitbucket, Bamboo, Crowd, Fisheye и Crucible связана с неправильным порядком поведения. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, обойти процедуру аутентификации и проводить межсайтовый скриптинг
CVE-2017-18108Ресурс конфигурации администрирования SMTP в Atlassian Crowd до версии 2.10.2 позволяет удаленным злоумышленникам с правами администратора выполнять произвольный код через JNDI injection.
CVE-2017-16858Модуль плагина 'crowd-application' (особенно используемый плагином Google Apps) в Atlassian Crowd с версии 1.5.0 до версии 3.1.2 позволял злоумышленнику выдавать себя за пользователя Crowd в REST-запросах, имея возможность аутентифицироваться в каталоге, привязанном к приложению, с помощью этой функции. Учитывая следующую ситуацию: приложение Crowd привязано к каталогу 1 и имеет пользователя с именем admin, а приложение Google Apps привязано к каталогу 2, в котором также есть пользователь с именем admin, можно было аутентифицировать REST-запросы, используя учетные данные пользователя из каталога 2, и выдавать себя за пользователя из каталога 1.
CVE-2017-18110Ресурс восстановления резервной копии администрирования в Atlassian Crowd до версии 3.0.2 и с версии 3.1.0 до версии 3.1.1 позволяет удаленным злоумышленникам читать файлы из файловой системы через уязвимость XXE.
CVE-2017-18107Различные ресурсы в демонстрационном приложении Crowd Atlassian Crowd до версии 3.1.1 позволяют удаленным злоумышленникам изменять, добавлять, модифицировать и удалять пользователей и группы через уязвимость Cross-site request forgery (CSRF). Пожалуйста, имейте в виду, что демонстрационное приложение не включено по умолчанию.
CVE-2017-18109Ресурс login CrowdId в Atlassian Crowd до версии 3.0.2 и с версии 3.1.0 до версии 3.1.1 позволяет удаленным злоумышленникам перенаправлять пользователей на другой веб-сайт, который они могут использовать как часть фишинговой атаки через открытое перенаправление.
CVE-2013-3925Atlassian Crowd 2.5.x до 2.5.4, 2.6.x до 2.6.3, 2.3.8 и 2.4.9 позволяет удаленным злоумышленникам читать произвольные файлы и отправлять HTTP-запросы на серверы интрасети через запрос к (1) /services/2 или (2) services/latest с DTD, содержащим объявление XML внешней сущности в сочетании со ссылкой на сущность.
CVE-2018-20239Application Links до версии 5.0.11, с версии 5.1.0 до 5.2.10, с версии 5.3.0 до 5.3.6, с версии 5.4.0 до 5.4.12 и с версии 6.0.0 до 6.0.4 позволяют удаленным злоумышленникам внедрять произвольный HTML или JavaScript через уязвимость межсайтового скриптинга (XSS) в параметре applinkStartingUrl. Продукт используется в качестве плагина в различных продуктах Atlassian, где затронуты следующие: Confluence до версии 6.15.2, Crucible до версии 4.7.0, Crowd до версии 3.4.3, Fisheye до версии 4.7.0, Jira до версии 7.13.3 и 8.x до 8.1.0.
CVE-2020-36240Класс ResourceDownloadRewriteRule в Crowd до версии 4.0.4 и с версии 4.1.0 до 4.1.2 позволял не прошедшим проверку подлинности удаленным злоумышленникам читать произвольные файлы в каталогах WEB-INF и META-INF через некорректную проверку доступа к пути.