CVE-2017-14589
KrytyczneStreszczenie
W szablonach FreeMarker występuje możliwość podwójnej ewaluacji OGNL poprzez tagi FreeMarker w Struts. Atakujący z ograniczonymi prawami administracyjnymi do Bamboo może wykorzystać tę podatność do wykonania dowolnego kodu Java na systemach z podatną wersją Bamboo.
Ocena ryzyka
Organizacja narażona jest na wykonanie nieautoryzowanego kodu, co może prowadzić do poważnych naruszeń bezpieczeństwa i utraty danych.
Rekomendacja
Zaleca się aktualizację Bamboo do wersji 6.1.6 lub 6.2.5, aby usunąć tę podatność.
Oryginalny opis (angielski, źródło NVD)
It was possible for double OGNL evaluation in FreeMarker templates through Struts FreeMarker tags to occur. An attacker who has restricted administration rights to Bamboo or who hosts a website that a Bamboo administrator visits, is able to exploit this vulnerability to execute Java code of their choice on systems that run a vulnerable version of Bamboo. All versions of Bamboo before 6.1.6 (the fixed version for 6.1.x) and from 6.2.0 before 6.2.5 (the fixed version for 6.2.x) are affected by this vulnerability.