Уязвимость BDU:2022-06964

Дата: 16.11.2022. Автор: ФСТЭК России. Категории: Уязвимости

Идентификатор: BDU:2022-06964.

Наименование уязвимости: Уязвимость прикладного программного интерфейса REST программного продукта обработки данных Atlassian Crowd, позволяющая нарушителю повысить свои привилегии.

Описание уязвимости: Уязвимость прикладного программного интерфейса REST программного продукта обработки данных Atlassian Crowd связана с ошибками при проведении процедуры аутентификации. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, повысить свои привилегии
Уязвимое ПО: Прикладное ПО информационных систем Atlassian Crowd от 3.0.0 до 4.4.4 | Прикладное ПО информационных систем Atlassian Crowd от 5.0.0 до 5.0.3 |

Наименование ОС и тип аппаратной платформы:
Дата выявления: 16.11.2022.
CVSS 2.0: AV:N/AC:L/Au:N/C:C/I:C/A:C
Уровень опасности уязвимости: Критический уровень опасности (базовая оценка CVSS 2.0 составляет 10)
Критический уровень опасности (базовая оценка CVSS 3.0 составляет 9,8)

Возможные меры по устранению:
Установка обновлений из доверенных источников.
В связи со сложившейся обстановкой и введенными санкциями против Российской Федерации рекомендуется устанавливать обновления программного обеспечения только после оценки всех сопутствующих рисков.

Компенсирующие меры:
– ограничение возможности доступа к приложению с удаленных IP-адресов:
1. Получить доступ к консоли администрирования Crowd, перейдя по URL-адресам: http://localhost:8095/crowd http://localhost:8095/crowd/console.
2. В «Браузере приложений» перейти в Crowd.
3. На экране перейти во вкладку «Удаленные адреса» и удалить из списка IP-адреса с именами хостов, используемые для удаленного управления.

Использование рекомендаций производителя:
https://jira.atlassian.com/browse/CWD-5888.
Статус уязвимости: Подтверждена производителем
Наличие эксплойта: Данные уточняются
Информация об устранении: Уязвимость устранена
Идентификаторы других систем описаний уязвимости: CVE-2022-43782.