Šta se desilo?

Atlassian je 20. oktobra objavio mesečni bezbednosni bilten sa ispravkama u izdanjima objavljenim tokom prethodnog meseca. Broj 176 odnosi se na zbir stavki u biltenu; nije dokaz da je ovo najveće ažuriranje kompanije.

Koga pogađa?

Obuhvaćene su određene verzije proizvoda Bamboo, Bitbucket, Confluence, Crowd i Jira. Pogođenost se proverava za svaki proizvod i izdanje. Spisak Server/Data Center verzija ne znači da korisnici Atlassian Cloud-a treba sami da instaliraju iste pakete.

Kako se zaštititi?

  • Popišite tačne proizvode, izdanja i verzije koje koristite.
  • Uporedite svaku instalaciju sa tabelom pogođenih i ispravljenih verzija u biltenu.
  • Za Confluence proverite 10.2.19 LTS, 9.2.26 LTS ili 11.0.0, prema odgovarajućoj grani.
  • Za Bamboo proverite 12.1.12 LTS ili 10.2.24 LTS; za Bitbucket 10.2.8 LTS, 9.4.26 LTS ili 10.5.1.
  • Pre nadogradnje proverite kompatibilnost dodataka i mogućnost oporavka.
  • Posle primene proverite aktivnu verziju i rad svih čvorova.

Tehnički detalji

Kritične ocene u tabeli uključuju ranjivosti zavisnosti, ali ne predstavljaju jednu zajedničku CVSS ocenu cele Atlassian instalacije. Navedene ispravljene verzije za Confluence, Bamboo i Bitbucket označene su kao Data Center izdanja. Ne treba samostalno menjati ugrađene biblioteke mimo podržane nadogradnje proizvoda.

Zašto je važno?

Isti naziv biblioteke može se pojavljivati u više proizvoda sa različitim uslovima eksploatacije. Procena prioriteta zato treba da uključi stvarnu verziju, dostupnost sistema i osetljivost podataka.

Preporuka Sajber Radara

Pratite zaseban plan nadogradnje za svaki proizvod. Zabeležite šta je provereno i ko je odgovoran za preostale instalacije, umesto da se status zakrpljenosti zasniva samo na jednoj uspešnoj nadogradnji.