Atlassian ha lanzado correcciones de software para abordar cuatro defectos críticos en su software que, si se explota con éxito, podría dar lugar a la ejecución remota de código.
La lista de vulnerabilidades se encuentra a continuación:
- CVE-2022-1471 (Puntuación CVSS: 9,8): vulnerabilidad de deserialización en la biblioteca SnakeYAML que puede provocar la ejecución remota de código en varios productos.
- CVE-2023-22522 (Puntuación CVSS: 9.0) – Vulnerabilidad de ejecución remota de código en Confluence Data Center y Confluence Server (afecta a todas las versiones, incluida la 4.0.0 y posteriores)
- CVE-2023-22523 (Puntuación CVSS: 9,8) – Vulnerabilidad de ejecución remota de código en Assets Discovery para Jira Service Management Cloud, Server y Data Center (afecta a todas las versiones hasta, pero sin incluir, 3.2.0-cloud/6.2.0 data center y server)
- CVE-2023-22524 (Puntuación CVSS: 9,6) – Vulnerabilidad de ejecución remota de código en la aplicación Atlassian Companion para macOS (afecta a todas las versiones hasta la 2.0.0, pero no incluida)
Atlassian describió CVE-2023-22522 como una falla de inyección de plantilla que permite a un atacante autenticado, incluido uno con acceso anónimo, inyectar entradas de usuario no seguras en una página de Confluence, lo que resulta en la ejecución de código.
La falla de Assets Discovery permite a un atacante realizar una ejecución remota privilegiada de código en máquinas con el agente Assets Discovery instalado, mientras que CVE-2023-22524 podría permitir a un atacante lograr la ejecución de código utilizando WebSockets para eludir la lista de bloqueo de Atlassian Companion y las protecciones de macOS Gatekeeper.
El aviso llega casi un mes después de que la empresa australiana de software reveló Todas las versiones de sus productos Bamboo Data Center y Server se ven afectadas por una falla de seguridad crítica explotada activamente en Apache ActiveMQ (CVE-2023-46604, puntuación CVSS: 10.0). Se han publicado correcciones en las versiones 9.2.7, 9.3.5 y 9.4.1 o posteriores.
Dado que los productos Atlassian se han convertido en lucrativos vectores de ataque en los últimos años, se recomienda encarecidamente que los usuarios actúen rápidamente para actualizar las instalaciones afectadas a una versión parcheada.