【Linktech 資安神隊友】 Atlassian Multiple Products Security - CVE-2022-26136、CVE-2022-26137

近期 Atlassian 公布了一則關於 Atlassian 系列幾個產品之資訊安全相關的文章，內容涵蓋到所有下方指定產品，如是有使用底下產品的客戶請注意 ：

Product	Affected Versions
Jira Server and Data Center	Versions < 8.13.22 All versions 8.14.x through 8.19.x 8.20.x < 8.20.10 All versions 8.21.x 8.22.x < 8.22.4
Jira Service Management Server and Data Center	Versions < 4.13.22 All versions 4.14.x through 4.19.x 4.20.x < 4.20.10 All versions 4.21.x 4.22.x < 4.22.4
Fisheye	Versions < 4.8.10
Crucible	Versions < 4.8.10
Crowd Server and Data Center	Versions < 4.3.8 4.4.x < 4.4.2 5.0.0
Confluence Server and Data Center	Versions < 7.4.17 All versions 7.5.x through 7.12.x 7.13.x < 7.13.7 7.14.x < 7.14.3 7.15.x < 7.15.2 7.16.x < 7.16.4 7.17.x < 7.17.4 7.18.0
Bitbucket Server and Data Center	Versions < 7.6.16 All versions 7.7.x through 7.16.x 7.17.x < 7.17.8 All versions 7.18.x 7.19.x < 7.19.5 7.20.x < 7.20.2 7.21.x < 7.21.2 8.0.0 8.1.0
Bamboo Server and Data Center	Versions < 8.0.9 8.1.x < 8.1.8 8.2.x < 8.2.4

目前已發現一個會影響 Atlassian 系列上方指定產品的漏洞，並且在上述版本會影響，為 Servlet Filter 中的兩個關鍵代碼漏洞 CVE-2022-26136、CVE-2022-26137。根據 Atlassian 的安全公告，此漏洞會影響包含 Atlassian 系列產品與其第三方程式。

惡意人士將可以透過此兩漏洞對貴司進行以下的惡意攻擊 ：

1. 身分驗證繞過 (Authentication Bypasses) : 未經身份驗證的遠端攻擊者可以利用此漏洞繞過第三方應用使用的身份驗證。

2. 跨網站指令碼 (Cross-site scripting) : 發送特製的 HTTP 請求，誘使用戶觸發惡意 URL ，攻擊者可以利用受害者的許可權訪問易受攻擊的應用程式。

3. 跨來源資源共用繞過 (Cross-origin resource sharing (CORS) bypass) : 調用用於回應 CORS 請求的 Servlet Filter，從而導致 CORS 繞過。誘使用戶請求惡意 URL ，攻擊者可以利用受害者的許可權訪問易受攻擊的應用程式。

如貴司當前環境為漏洞影響之範圍內，請依照下方修復版本盡速升級 ：

​Product	Fixed Versions
Bamboo Server and Data Center	8.0.x >= 8.0.9 8.1.x >= 8.1.8 8.2.x >= 8.2.4 Versions >= 9.0.0
Bitbucket Server and Data Center	7.6.x >= 7.6.16 (LTS) 7.17.x >= 7.17.8 (LTS) 7.19.x >= 7.19.5 7.20.x >= 7.20.2 7.21.x >= 7.21.2 (LTS) 8.0.x >= 8.0.1 8.1.x >= 8.1.1 Versions >= 8.2.0
Confluence Server and Data Center	7.4.x >= 7.4.17 (LTS) 7.13.x >= 7.13.7 (LTS) 7.14.x >= 7.14.3 7.15.x >= 7.15.2 7.16.x >= 7.16.4 7.17.x >= 7.17.4 7.18.x >= 7.18.1 Versions >= 7.19.0
Crowd Server and Data Center	4.3.x >= 4.3.8 4.4.x >= 4.4.2 Versions >= 5.0.1
Crucible	Versions >= 4.8.10
Fisheye	Versions >= 4.8.10
Jira Server and Data Center	8.13.x >= 8.13.22 (LTS) 8.20.x >= 8.20.10 (LTS) 8.22.x >= 8.22.4 Versions >= 9.0.0
Jira Service Management Server and Data Center	4.13.x >= 4.13.22 (LTS) 4.20.x >= 4.20.10 (LTS) 4.22.x >= 4.22.4 Note: 4.22.5 contains a security vulnerability Atlassian recommends updating to 4.22.6 or later Versions >= 5.0.0

請務必盡速照著上方版本進行升級，如有需要任何協助請盡速與 Linktech 團隊做聯繫。

Atlassian針對此漏洞有下方 Q&A 之解釋，有需要請參考 ：

https://confluence.atlassian.com/security/multiple-products-security-advisory-cve-2022-26136-cve-2022-26137-1141493031.html

Linktech 深耕 Atlassian 系列解決方案，同時涵蓋資訊安全檢驗的部分，若有發現 Atlassian 系列產品環境存在潛在危機的客戶，歡迎隨時與我們聯繫，同時在軟體升級的部分，我們也會再進行升級前進行全系統的盤點與掃描，確保升級後功能可以正常使用，且資料不會流失。

資訊安全對於 IT 團隊來說責任是重中之重， 然而每個 IT 團隊要維護的系統非常繁雜，有 ERP、CRM、Issue Tracking…等，有時要管理的系統太多，反而頭尾不能兼顧，如果您也遇到這樣的情況，請放心將您的系統委由 Linktech 協助維護，我們將會是您系統維運最佳神隊友。

#Jira #Confluence #Bitbucket #Bamboo #Fisheye #Crucible #Crowd #Server #DataCenter #Security #ServletFilter #Linktech #AtlassianPlatinumSolutionPartner #Taiwan #CVE202226136 #CVE202226137 #Linktech資安神隊友