Atlassian y Internet Systems Consortium (ISC) han revelado varias fallas de seguridad que afectan a sus productos y que podrían explotarse para lograr denegación de servicio (DoS) y ejecución remota de código.
El proveedor australiano de servicios de software. dicho que las cuatro fallas de alta gravedad se solucionaron en las nuevas versiones enviadas el mes pasado. Esto incluye –
- CVE-2022-25647 (Puntuación CVSS: 7,5): una falla de deserialización en el paquete Google Gson que afecta la administración de parches en el servidor y el centro de datos de Jira Service Management
- CVE-2023-22512 (Puntuación CVSS: 7,5) – Una falla DoS en el centro de datos y el servidor de Confluence
- CVE-2023-22513 (Puntuación CVSS: 8,5) – Una falla de RCE en el servidor y el centro de datos de Bitbucket
- CVE-2023-28709 (Puntuación CVSS: 7,5): una falla DoS en el servidor Apache Tomcat que afecta al servidor y al centro de datos de Bamboo
Las fallas se han solucionado en las siguientes versiones:
- Jira Service Management Server y Data Center (versiones 4.20.25, 5.4.9, 5.9.2, 5.10.1, 5.11.0 o posteriores)
- Confluence Server y Data Center (versiones 7.19.13, 7.19.14, 8.5.1, 8.6.0 o posteriores)
- Bitbucket Server y Data Center (versiones 8.9.5, 8.10.5, 8.11.4, 8.12.2, 8.13.1, 8.14.0 o posteriores)
- Bamboo Server y Data Center (versiones 9.2.4, 9.3.1 o posteriores)
Se corrigieron dos fallas de alta gravedad en BIND
En un desarrollo relacionado, ISC ha publicado correcciones para dos errores de alta gravedad que afectan el paquete de software Berkeley Internet Name Domain (BIND) 9 Domain Name System (DNS) que podrían allanar el camino para una condición DoS:
- CVE-2023-3341 (Puntuación CVSS: 7,5): una falla de agotamiento de la pila en el código del canal de control puede provocar que el nombre finalice inesperadamente (corregido en las versiones 9.16.44, 9.18.19, 9.19.17, 9.16.44-S1 y 9.18.19-S1).
- CVE-2023-4236 (Puntuación CVSS: 7,5): el servicio nombrado puede finalizar inesperadamente bajo una carga alta de consultas DNS sobre TLS (corregido en las versiones 9.18.19 y 9.18.19-S1).
Los últimos parches llegan tres meses después de que ISC implementara correcciones para otras tres fallas en el software (CVE-2023-2828, CVE-2023-2829 y CVE-2023-2911, puntuaciones CVSS: 7.5) que podrían resultar en una condición DoS. .