CVE-2017-14591
KrytyczneStreszczenie
Atlassian Fisheye i Crucible w wersjach poniżej 4.4.3 oraz w wersji 4.5.0 są podatne na wstrzykiwanie argumentów poprzez nazwy plików w repozytoriach Mercurial, co pozwala atakującym na wykonanie dowolnego kodu na systemie z zainstalowanym podatnym oprogramowaniem.
Ocena ryzyka
Wykorzystanie tej podatności może prowadzić do przejęcia kontroli nad systemem, co stwarza poważne zagrożenie dla bezpieczeństwa organizacji.
Rekomendacja
Zaleca się aktualizację Fisheye i Crucible do wersji 4.4.3 lub nowszej, aby usunąć tę podatność.
Inne podatności w Atlassian Fisheye and Crucible
Zobacz wszystkie- CVE-2017-9511Wysokie
Klasa MultiPathResource w Atlassian Fisheye i Crucible, przed wersją 4.4.1, umożliwia anonimowym zdalnym atakującym odczyt dowolnych plików poprzez lukę w zabezpieczeniach związaną z przejściem ścieżki, gdy Fisheye lub Crucible działa na systemie operacyjnym Microsoft Windows.
- CVE-2017-9512Wysokie
Zasób mostActiveCommitters.do w Atlassian Fisheye i Crucible przed wersją 4.4.1 umożliwia anonimowym zdalnym atakującym dostęp do wrażliwych informacji, takich jak adresy e-mail komitujących, z powodu braku kontroli uprawnień.
Oryginalny opis (angielski, źródło NVD)
Atlassian Fisheye and Crucible versions less than 4.4.3 and version 4.5.0 are vulnerable to argument injection through filenames in Mercurial repositories, allowing attackers to execute arbitrary code on a system running the impacted software.