Atlassian – CVE-2022-43782
Date de publication :
Une mauvaise configuration de l’API REST d’Atlassian Crowd permet à un attaquant de contourner la politique de sécurité du système et d’exécuter du code arbitraire.
Informations
La faille est activement exploitée : Non
Un correctif existe : Oui
Une mesure de contournement existe : Oui
Exécution de code arbitraire
Contournement de la politique de sécurité
Exploitation
La vulnérabilité exploitée est du type
CWE-287: Improper Authentication
Détails sur l’exploitation
Vecteur d’attaque : Réseau.
Complexité de l’attaque : Faible.
Privilèges nécessaires pour réaliser l’attaque : Aucun.
Interaction d’un utilisateur ayant accès au produit est-elle nécessaire : Non.
L’exploitation de la faille permet d’obtenir des droits privilégiés : Non.
Systèmes ou composants affectés
Atlassian Crowd est affecté par cette vulnérabilité dans les versions suivantes :
- 3.0.0 et suivantes.
- 4.0.0 à 4.4.4 non inclue.
- 5.0.0 à 5.0.3 non inclue.
Contournement provisoire
- Supprimer ou à valider toutes les adresses distantes pour l'application crowd dans le produit Atlassian Crowd.
- Remplacer le mot de passe de l’application crowd par un mot de passe fort, en particulier si une adresse distante est nécessaire.
Solutions ou recommandations
Mettre à jour Atlassian Crowd aux versions suivantes :
4.4.4
5.0.3
Plus d’informations disponibles ici.