CVE-2017-8907
WysokieStreszczenie
W Atlassian Bamboo w wersjach 5.x przed 5.15.7 oraz 6.x przed 6.0.1 nieprawidłowo sprawdzano, czy użytkownik tworzący projekt wdrożeniowy ma odpowiednie uprawnienia do edycji. Atakujący, który zaloguje się jako użytkownik bez tych uprawnień, może stworzyć projekt wdrożeniowy i wykonać dowolny kod na dostępnej agencie Bamboo.
Ocena ryzyka
Organizacja narażona jest na możliwość wykonania złośliwego kodu na systemie hostującym Bamboo, co może prowadzić do poważnych naruszeń bezpieczeństwa.
Rekomendacja
Zaleca się aktualizację Atlassian Bamboo do najnowszej wersji, aby zapewnić poprawne sprawdzanie uprawnień użytkowników oraz zminimalizować ryzyko nieautoryzowanego dostępu.
Inne podatności w Atlassian Bamboo
Zobacz wszystkie- CVE-2016-5229Krytyczne
Atlassian Bamboo w wersjach przed 5.11.4.1 oraz 5.12.x przed 5.12.3.1 nie ogranicza właściwie dozwolonych klas deserializowanych, co umożliwia zdalnym atakującym wykonanie dowolnego kodu poprzez wykorzystanie podatności związanej z serializacją XStream.
- CVE-2015-8361Krytyczne
Wielokrotne, niesprecyzowane usługi w Atlassian Bamboo przed wersją 5.9.9 oraz 5.10.x przed 5.10.0 nie wymagają uwierzytelnienia, co pozwala zdalnym atakującym na uzyskanie wrażliwych informacji, modyfikację ustawień lub zarządzanie agentami budowy.
- CVE-2015-8360Krytyczne
W Atlassian Bamboo przed wersją 5.9.9 oraz 5.10.x przed wersją 5.10.0 występuje nieokreślona podatność, która pozwala zdalnym atakującym na wykonanie dowolnego kodu Java poprzez przesłanie zserializowanych danych do portu JMS.
Oryginalny opis (angielski, źródło NVD)
Atlassian Bamboo 5.x before 5.15.7 and 6.x before 6.0.1 did not correctly check if a user creating a deployment project had the edit permission and therefore the rights to do so. An attacker who can login to Bamboo as a user without the edit permission for deployment projects is able to use this vulnerability, provided there is an existing plan with a green build, to create a deployment project and execute arbitrary code on an available Bamboo Agent. By default a local agent is enabled; this means that code execution can occur on the system hosting Bamboo as the user running Bamboo.