Atlassian a d\u00e9ploy\u00e9 des correctifs pour rem\u00e9dier \u00e0 une vuln\u00e9rabilit\u00e9 de s\u00e9curit\u00e9 critique li\u00e9e \u00e0 l’utilisation d’informations d’identification cod\u00e9es en dur affectant les questions pour la confluence<\/a> application pour Confluence Server et Confluence Data Center.<\/p>\n La faille, suivie comme CVE-2022-26138<\/b>survient lorsque l’application en question est activ\u00e9e sur l’un des deux services, ce qui l’am\u00e8ne \u00e0 cr\u00e9er un compte utilisateur Confluence avec le nom d’utilisateur “disabledsystemuser”.<\/p>\n Bien que ce compte, selon Atlassian, vise \u00e0 aider les administrateurs \u00e0 migrer les donn\u00e9es de l’application vers Confluence Cloud, il est \u00e9galement cr\u00e9\u00e9 avec un mot de passe cod\u00e9 en dur, permettant effectivement de visualiser et de modifier toutes les pages non restreintes dans Confluence par d\u00e9faut.<\/p>\n “Un attaquant distant non authentifi\u00e9 connaissant le mot de passe cod\u00e9 en dur pourrait exploiter cela pour se connecter \u00e0 Confluence et acc\u00e9der \u00e0 toutes les pages du groupe d’utilisateurs de confluence<\/a> a acc\u00e8s \u00bb, la soci\u00e9t\u00e9 a dit<\/a> dans un avis, ajoutant que “le mot de passe cod\u00e9 en dur est facile \u00e0 obtenir apr\u00e8s le t\u00e9l\u00e9chargement et l’examen des versions concern\u00e9es de l’application”.<\/p>\n Les questions pour les versions 2.7.34, 2.7.35 et 3.0.2 de Confluence sont affect\u00e9es par la faille, avec des correctifs disponibles dans les versions 2.7.38 et 3.0.5. Alternativement, les utilisateurs peuvent d\u00e9sactiver ou supprimer<\/a> le compte d’utilisateur syst\u00e8me d\u00e9sactiv\u00e9.<\/p>\n Bien qu’Atlassian ait soulign\u00e9 qu’il n’y a aucune preuve d’exploitation active de la faille, les utilisateurs peuvent rechercher des indicateurs de compromission en v\u00e9rifiant la derni\u00e8re heure d’authentification du compte. “Si la derni\u00e8re heure d’authentification pour disabledsystemuser est nulle, cela signifie que le compte existe mais que personne ne s’y est jamais connect\u00e9”, a-t-il d\u00e9clar\u00e9.<\/p>\n Par ailleurs, la soci\u00e9t\u00e9 de logiciels australienne a \u00e9galement d\u00e9cid\u00e9 de corriger une paire de failles critiques, qu’elle appelle les vuln\u00e9rabilit\u00e9s du r\u00e9partiteur de filtre de servlet, affectant plusieurs produits –<\/p>\n L’exploitation r\u00e9ussie des bogues, suivis comme CVE-2022-26136 et CVE-2022-26137, pourrait permettre \u00e0 un attaquant distant non authentifi\u00e9 de contourner l’authentification utilis\u00e9e par des applications tierces, d’ex\u00e9cuter du code JavaScript arbitraire et de contourner le partage de ressources cross-origin (SCRO<\/a>) m\u00e9canisme de navigateur en envoyant une requ\u00eate HTTP sp\u00e9cialement con\u00e7ue.<\/p>\n “Atlassian a publi\u00e9 des mises \u00e0 jour qui corrigent la cause premi\u00e8re de cette vuln\u00e9rabilit\u00e9, mais n’a pas \u00e9num\u00e9r\u00e9 de mani\u00e8re exhaustive toutes les cons\u00e9quences potentielles de cette vuln\u00e9rabilit\u00e9”, a d\u00e9clar\u00e9 la soci\u00e9t\u00e9. mis en garde<\/a> dans son avis concernant CVE-2022-26137.<\/p>\n <\/p>\n<\/div>\n![\"La](\"https:\/\/thehackernews.com\/new-images\/img\/b\/R29vZ2xl\/AVvXsEgvfqow2z1XORevUpzKGWWXZ2DP4dMaNi-7cycpa3J_bSZKv0tO6MP40HLl7lvVJDIswOmb6I-YoNMLJym4v9oLZQczujsMqcttB3M_Cvm6E-zLs0XrpwaTZ_SGFjckDfi3CPfijZaii8Z88_btcKeHKKfxm7cDyF3kaVvsirGpb2JWVH0Ot3xGiC2sZg\/s1600\/strike-728.png\")
<\/a><\/div>\n\n
![\"La](\"https:\/\/thehackernews.com\/new-images\/img\/b\/R29vZ2xl\/AVvXsEj6zHdXd3qpCksF0nkMkrjsOzaw-cxZGPHWoTEp9y7VPIeyPBFGsmIyIX8NTkqI1IDqnIXYnsZuIh4rc9f8TNUn7ndAZqtXc-t58X2oueTaL4Ijb4hgH-b183QvQ0ienXIipuOsqeLP5b8I2prKmp0RWvdZQgnKehVRKbqRQpin1JgfwlZeE_IB4EmesQ\/s1600\/crowdsec-728.jpg\")
<\/a><\/div>\n