【Linktech 資安神隊友】Atlassian 持續監控潛在漏洞，提升 Data Center 產品安全水平

╴Atlassian 2025 年 2 月安全公告摘要

在 2025 年 2 月 18 日的安全公告中，Atlassian 披露了五個關鍵漏洞，這些漏洞源自非 Atlassian 的依賴套件。

然而，由於 Atlassian 在其產品中應用這些依賴套件的方式，實際風險評估較低。因此，這些漏洞依然被納入本月的安全公告中進行披露。

╴關鍵漏洞描述

產品	受影響的版本	修復版本
Bamboo Data Center Bamboo Server	10.2.0 (LTS) 10.1.0 to 10.1.1 10.0.0 to 10.0.3 9.6.0 to 9.6.9 (LTS) 9.5.0 to 9.5.4 9.4.0 to 9.4.4 9.3.0 to 9.3.6 9.2.3 to 9.2.20 (LTS) 9.1.2 to 9.1.3	10.2.1 (LTS) recommended Data Center Only 9.6.10 (LTS) Data Center Only 9.2.21 to 9.2.22 (LTS)
Bitbucket Data Center Bitbucket Server	9.2.0 to 9.2.1 9.1.0 to 9.1.1 9.0.0 to 9.0.1 8.19.0 to 8.19.10 (LTS) 8.18.0 to 8.18.1 8.17.0 to 8.17.2 8.16.0 to 8.16.4 8.15.0 to 8.15.5 8.14.0 to 8.14.6 8.13.0 to 8.13.6 8.12.0 to 8.12.6 8.11.0 to 8.11.6 8.10.0 to 8.10.6 8.9.0 to 8.9.20 (LTS) 8.8.2 to 8.8.7 8.7.3 to 8.7.5 8.6.4	9.5.1 Data Center Only 9.4.3 (LTS) Data Center Only 8.19.11 to 8.19.15 (LTS) recommended Data Center Only 8.9.21 to 8.9.25 (LTS)
Confluence Data Center Confluence Server	9.2.0 (LTS) 9.1.0 to 9.1.1 9.0.1 to 9.0.3 8.9.0 to 8.9.8 8.8.0 to 8.8.1 8.7.1 to 8.7.2 8.6.0 to 8.6.2 8.5.0 to 8.5.18 (LTS) 8.4.0 to 8.4.5 8.3.0 to 8.3.4 8.2.0 to 8.2.3 8.1.1 to 8.1.4 7.19.6 to 7.19.30 (LTS)	9.3.1 Data Center Only 9.2.1 (LTS) recommended Data Center Only 8.5.19 (LTS)
Crowd Data Center Crowd Server	6.2.0 6.1.0 to 6.1.3 6.0.1 to 6.0.6 5.3.0 to 5.3.6	6.2.2 recommended Data Center Only 6.1.4 Data Center Only 6.0.7 Data Center Only
Jira Data Center Jira Server	10.1.1 10.0.0 to 10.0.1 9.17.0 to 9.17.3 9.16.1 9.15.2 9.14.0 to 9.14.1 9.13.0 to 9.13.1 9.12.0 to 9.12.14 (LTS) 9.11.0 to 9.11.3 9.10.0 to 9.10.2 9.9.0 to 9.9.2 9.8.0 to 9.8.2 9.7.0 to 9.7.2 9.4.4 to 9.4.27 (LTS)	10.1.2 Data Center Only 9.17.4 to 9.17.5 Data Center Only 9.12.15 (LTS) recommended 9.4.28 to 9.4.30 (LTS)

╴Atlassian Server & Data Center 安全漏洞摘要

近期發現多個 Atlassian 產品存在安全漏洞，影響 Bamboo、Bitbucket、Confluence、Crowd 和 Jira 的 Data Center & Server 版本。漏洞類型包括 拒絕服務（DoS）、遠程代碼執行（RCE） 及 身份驗證和會話管理破損（BASM），部分漏洞 CVSS 評分高達 9.8（嚴重）。

• Bamboo

  • CVE-2024-7254：com.google.protobuf:protobuf-java 依賴項中的 DoS 漏洞。 （CVSS 8.7 高）

  • CVE-2024-47072：com.thoughtworks.xstream:xstream 依賴項中的 DoS 漏洞。（CVSS 7.5 高）

• Bitbucket

  • CVE-2024-4756：org.apache.avro:avro 依賴項中的 RCE 漏洞。 （CVSS 7.3 高）

• Confluence

  • CVE-2024-50379、CVE-2024-56337：org.apache.tomcat:tomcat-catalina 依賴項中的 RCE 漏洞。 （CVSS 9.8 嚴重）

• Crowd

  • CVE-2024-52316、CVE-2024-50379、CVE-2024-56337：org.apache.tomcat:tomcat-catalina 依賴項中的 BASM（身份驗證和會話管理破損）漏洞。 （CVSS 9.8 嚴重）

  • CVE-2022-25927：com.google.protobuf:protobuf-java 依賴項中的 DoS 漏洞。 （CVSS 7.5 高）

• Jira

  • CVE-2024-7254：com.google.protobuf:protobuf-java 依賴項中的 DoS 漏洞。 （CVSS 8.7 高）

╴Atlassian 的應對措施

雖然這些漏洞被評估為對 Atlassian 產品風險較低，但仍建議用戶參照上方資訊，保持其產品的最新版本，以確保獲得最新的安全修復和改進。

╴Atlassian Cloud 影響狀況

使用 Atlassian Cloud 產品的用戶無需擔心此漏洞影響。Atlassian 的 SaaS 服務具備高度的安全防護機制，並持續進行安全強化，並持續強化防護機制，以確保您的資料安全。

╴總結

Linktech 深耕 Atlassian 系列解決方案，同時涵蓋資訊安全檢驗的部分，若有發現 Atlassian 系列產品環境存在潛在危機的客戶，歡迎隨時與我們聯繫，同時在軟體升級的部分，我們也會再進行升級前進行全系統的盤點與掃描，確保升級後功能可以正常使用，且資料不會流失。

Atlassian 的 2025 年 2 月安全公告強調了公司對透明度和用戶安全的承諾。即使某些漏洞對其產品影響較小，Atlassian 仍選擇披露，並鼓勵用戶保持軟體更新，以確保最佳的安全性和性能，再次提醒如貴司當前環境為漏洞影響之範圍內，最終應該都請盡速做主程式的升級，如有需要任何協助確認或者升級工程，請盡速與 Linktech 團隊做聯繫。