CVE-2015-8361
KrytyczneStreszczenie
Wielokrotne, niesprecyzowane usługi w Atlassian Bamboo przed wersją 5.9.9 oraz 5.10.x przed 5.10.0 nie wymagają uwierzytelnienia, co pozwala zdalnym atakującym na uzyskanie wrażliwych informacji, modyfikację ustawień lub zarządzanie agentami budowy.
Ocena ryzyka
Brak wymogu uwierzytelnienia stwarza poważne ryzyko dla bezpieczeństwa organizacji, umożliwiając atakującym dostęp do krytycznych danych i konfiguracji systemu.
Rekomendacja
Zaleca się aktualizację Atlassian Bamboo do najnowszej wersji, aby wyeliminować tę podatność oraz wprowadzenie odpowiednich mechanizmów uwierzytelniania dla wszystkich usług.
Inne podatności w Atlassian Bamboo
Zobacz wszystkie- CVE-2017-8907Wysokie
W Atlassian Bamboo w wersjach 5.x przed 5.15.7 oraz 6.x przed 6.0.1 nieprawidłowo sprawdzano, czy użytkownik tworzący projekt wdrożeniowy ma odpowiednie uprawnienia do edycji. Atakujący, który zaloguje się jako użytkownik bez tych uprawnień, może stworzyć projekt wdrożeniowy i wykonać dowolny kod na dostępnej agencie Bamboo.
- CVE-2016-5229Krytyczne
Atlassian Bamboo w wersjach przed 5.11.4.1 oraz 5.12.x przed 5.12.3.1 nie ogranicza właściwie dozwolonych klas deserializowanych, co umożliwia zdalnym atakującym wykonanie dowolnego kodu poprzez wykorzystanie podatności związanej z serializacją XStream.
- CVE-2015-8360Krytyczne
W Atlassian Bamboo przed wersją 5.9.9 oraz 5.10.x przed wersją 5.10.0 występuje nieokreślona podatność, która pozwala zdalnym atakującym na wykonanie dowolnego kodu Java poprzez przesłanie zserializowanych danych do portu JMS.
Oryginalny opis (angielski, źródło NVD)
Multiple unspecified services in Atlassian Bamboo before 5.9.9 and 5.10.x before 5.10.0 do not require authentication, which allows remote attackers to obtain sensitive information, modify settings, or manage build agents via unknown vectors involving the JMS port.