Avis du CERT-FR

Json

Objet : Multiples vulnérabilités dans les produits Atlassian

Gestion du document

Référence	CERTFR-2024-AVI-0432
Titre	Multiples vulnérabilités dans les produits Atlassian
Date de la première version	22 mai 2024
Date de la dernière version	22 mai 2024
Source(s)	Bulletin de sécurité Atlassian CONFSERVER-95832 du 21 mai 2024 Bulletin de sécurité Atlassian CONFSERVER-95834 du 21 mai 2024 Bulletin de sécurité Atlassian CONFSERVER-95839 du 21 mai 2024 Bulletin de sécurité Atlassian JSWSERVER-25896 du 21 mai 2024 Bulletin de sécurité Atlassian JSWSERVER-25905 du 21 mai 2024 Bulletin de sécurité Atlassian JSWSERVER-25948 du 21 mai 2024 Bulletin de sécurité Atlassian JSWSERVER-25949 du 21 mai 2024 Bulletin de sécurité Atlassian JSWSERVER-25950 du 21 mai 2024

Une gestion de version détaillée se trouve à la fin de ce document.

Risques

Atteinte à la confidentialité des données
Contournement de la politique de sécurité
Déni de service à distance
Exécution de code arbitraire à distance

Systèmes affectés

Confluence Data Center versions antérieures à 7.19.22
Confluence Data Center versions antérieures à 8.5.9
Confluence Data Center versions antérieures à 8.9.1
Jira Software Data Center versions antérieures à 9.11.3
Jira Software Data Center versions antérieures à 9.12.0
Jira Software Data Center versions antérieures à 9.12.7
Jira Software Data Center versions antérieures à 9.15.2
Jira Software Data Center versions antérieures à 9.4.20
Jira Software Data Center versions antérieures à 9.7.2
Jira Software Data Center versions antérieures à 9.8.0
Jira Software Server versions antérieures à 9.12.7
Jira Software Server versions antérieures à 9.15.2
Jira Software Server versions antérieures à 9.4.20

Résumé

De multiples vulnérabilités ont été découvertes dans les produits Atlassian. Certaines d'entre elles permettent à un attaquant de provoquer une exécution de code arbitraire à distance, un déni de service à distance et une atteinte à la confidentialité des données.

Solutions

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).

Documentation

Bulletin de sécurité Atlassian CONFSERVER-95832 du 21 mai 2024
https://jira.atlassian.com/browse/CONFSERVER-95832
Bulletin de sécurité Atlassian CONFSERVER-95834 du 21 mai 2024
https://jira.atlassian.com/browse/CONFSERVER-95834
Bulletin de sécurité Atlassian CONFSERVER-95839 du 21 mai 2024
https://jira.atlassian.com/browse/CONFSERVER-95839
Bulletin de sécurité Atlassian JSWSERVER-25896 du 21 mai 2024
https://jira.atlassian.com/browse/JSWSERVER-25896
Bulletin de sécurité Atlassian JSWSERVER-25905 du 21 mai 2024
https://jira.atlassian.com/browse/JSWSERVER-25905
Bulletin de sécurité Atlassian JSWSERVER-25948 du 21 mai 2024
https://jira.atlassian.com/browse/JSWSERVER-25948
Bulletin de sécurité Atlassian JSWSERVER-25949 du 21 mai 2024
https://jira.atlassian.com/browse/JSWSERVER-25949
Bulletin de sécurité Atlassian JSWSERVER-25950 du 21 mai 2024
https://jira.atlassian.com/browse/JSWSERVER-25950
Référence CVE CVE-2022-25647
https://www.cve.org/CVERecord?id=CVE-2022-25647
Référence CVE CVE-2022-41966
https://www.cve.org/CVERecord?id=CVE-2022-41966
Référence CVE CVE-2023-45859
https://www.cve.org/CVERecord?id=CVE-2023-45859
Référence CVE CVE-2024-1597
https://www.cve.org/CVERecord?id=CVE-2024-1597
Référence CVE CVE-2024-21683
https://www.cve.org/CVERecord?id=CVE-2024-21683
Référence CVE CVE-2024-22257
https://www.cve.org/CVERecord?id=CVE-2024-22257
Référence CVE CVE-2024-23672
https://www.cve.org/CVERecord?id=CVE-2024-23672
Référence CVE CVE-2024-24549
https://www.cve.org/CVERecord?id=CVE-2024-24549

Gestion détaillée du document

Date	Description
22 mai 2024	Version initiale