众至科技漏洞通告 | Atlassian Crowd and Crowd Data Center 权限绕过漏洞；Bitbucket Server and Data Center 远程命令执行漏洞

最新推荐文章于 2024-08-17 22:51:53 发布
原创 最新推荐文章于 2024-08-17 22:51:53 发布 · 807 阅读 · 0 ·
CC 4.0 BY-SA版权
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
文章标签：

#安全 #网络 #web安全

本文通告了Atlassian Crowd和Crowd Data Center的权限绕过漏洞（CVE-2022-43782），以及Bitbucket Server和Data Center的远程命令执行漏洞。攻击者可能无需认证即可执行敏感操作，或利用环境变量进行命令注入。受影响的版本广泛，官方已发布安全更新，建议用户尽快升级到安全版本并关闭不必要的注册功能。

【漏洞通告】Atlassian Crowd and Crowd Data Center 权限绕过漏洞

1.基础信息

CVE

CVE-2022-43782

等级

高危

类型

权限绕过

最低0.47元/天 解锁文章
未授权访问：Atlassian Crowd未授权访问漏洞
qq_68163788的博客
05-17 1490
Atlassian Crowd是一套基于Web的单点登录系统。该系统为多用户、网络应用程序和目录服务器提供验证、授权等功能。 Atlassian Crowd Data Center是Crowd的集群部署版。Atlassian Crowd和Crowd Data Center在其某些发行版本中错误地启用了pdkinstall开发插件，使其存在安全漏洞。 攻击者利用该漏洞可在未授权访问的情况下对Atlassian Crowd和Crowd Data Center安装任意的恶意插件，执行任意代码/命令
Atlassian Crowd 未授权访问漏洞（详细版）
weixin_43061533的博客
12-15 2225
0x01 漏洞简述 Atlassian Crowd和Atlassian Crowd Data Center都是澳大利亚Atlassian公司的产品。Atlassian Crowd是一套基于Web的单点登录系统。该系统为用用户、网络应用程序和目录服务器提供验证、授权等功能。Atlassian Crowd Data Center是Crowd的集群部署版。Atlassian Crowd和Crowd Data Center在其某些发行版本中错误地启用了了pdkinstall开发插件,使其存在安全漏漏洞洞。攻击者利
[kernel exploit] linux 内核常规堆溢出漏洞的“胜利方程式“
热门推荐
Breeze的博客
05-20 1万+
[kernel exploit] linux 内核常规堆溢出漏洞的"胜利方程式" 文章目录[kernel exploit] linux 内核常规堆溢出漏洞的"胜利方程式"简介背景前置条件与技术漏洞利用准备msg队列布置溢出构造msg corrupt构造 MSG UAF泄露msg 地址 1泄露msg 地址 2msg UAFDirty Pipe初始化pipe篡改flag/ops 进行Dirty Pipe成功案例参考 简介 背景 对于内核中堆溢出的利用手段还是比较多的，在以前常规的堆类漏洞利用方法中，通常是想办法
Atlassian Bitbucket Server 和 Data Center 命令注入漏洞
OSCS开源安全社区
08-26 948
在Bitbucket Server 和 Data Center 的多个 API 端点处存在命令注入漏洞。有权访问公共 Bitbucket 存储库或对私有存储库具有读取权限的攻击者可以通过发送恶意 HTTP 请求来执行任意代码。 建议将Atlassian Bitbucket Server 和 Data Center升级到 7.0.0 或 7.6.17 或 7.17.10 或 7.21.4 或 8.0.3 或 8.1.3 或 8.2.2 或 8.3.1 或更高版本。...
Bitbucket Server and Data Center命令注入漏洞(CVE-2022-43781)
include_voidmain的博客
12-28 945
跟进看一下命令在哪里执行的以及环境变量用来干什么,在RemoteUserNioProcessConfigurer中的configure方法成功命中断点，这里发现已经传入了git命令，但是漏洞描述说的是使用用户名环境变量造成的注入，所以只需关注环境变量部分。这个函数是\com\atlassian\bitbucket\internal\-process\NioProcessParameters.java中新增的，其中调用的函数对key进行了非空判断，对key和valve都进行了空字节的检测。
standalone-atlassian-log-scanner:这是内置在Jira，Confluence，Bitbucket，Bamboo，Crowd和FisheyeCrucible中的Log Scanner（Hercules）的独立版本。 目的是大幅提高扫描速度
05-16
这是内置在Jira，Confluence，Bitbucket，Bamboo，Crowd和Fisheye / Cruceible中的Log Scanner（Hercules）的独立版本。 与通过Atlassian应用程序的界面执行扫描相比，该项目的目的是提高扫描速度。 它还通过以下...
Ansible角色实现Atlassian Crowd自动化安装部署
它支持多种目录服务（如 LDAP、Active Directory），并能为 Jira、Confluence、Bitbucket 等 Atlassian 产品提供统一的身份验证接口。因此，在现代 DevOps 架构中，Crowd 常作为核心身份基础设施组件存在。然而，...
Docker部署Atlassian全家桶所需SQL脚本
04-12
Docker部署Atlassian全家桶所需SQL脚本
实现OmniAuth与Atlassian Crowd REST API集成
9. Atlassian产品: Atlassian是一个提供企业级软件解决方案的公司，其产品如Jira, Confluence, Bitbucket等都为现代企业提供了核心的工作协作工具。Crowd作为Atlassian家族的一部分，与其他产品协同工作，提供了用户...
Altassian Crowd未授权访问漏洞
qq_68186313的博客
08-06 440
Atlassian Crowd和Atlassian Crowd Data Centeri都是澳大利亚Atlassian公司的产品。攻击者利用该漏洞可在未授权访问的情况下对Atlassian Crowd和Crowd Data Center安装任意的恶意插件，执行任意代码/命令，从而获得服务器权限。8、进入配置信息，无需修改，点击continue，点击continue，其中配置登录账号密码，点击continue，跳转到登录页面，输入刚才配置的账户密码，登录即可。Altassian Crowd未授权访问漏洞。
Aruba 修复EdgeConnect 中的严重RCE和认证绕过漏洞
smellycat000的专栏
10-13 863
聚焦源代码安全，网罗国内外最新资讯！编译：代码卫士摘要Aruba 发布EdgeConnect Enterprise Orchestrator 安全更新，修复了可导致远程攻击者攻陷主机的多个严重漏洞。Aruba EdgeConnect Orchestrator 是一款广泛使用的WAN管理解决方案，为企业用户提供优化、管理、自动化和实时可见性和监控特性服务。该产品中存在严重的可利用漏洞，为系统和网络...
bitbucket的git参数命令注入漏洞
你和萤火虫有两个共同点，在我的眼里都会发光，同时，都已经很多年没见了
11-26 1440
启动docker， 创建栗子项目，方便后面调试 下面是我的操作 创建完后，刷新项目
Centos7服务器同步网络发现漏洞与修复手册（每周更新3次）
visket2008的专栏
10-18 3067
本文将长期更新基于centos7环境引起的操作系统、java、node、python等相关的漏洞修复解决方案。
LINUX内核漏洞知多少？
最新发布
advdbgger的博客
08-17 1353
Linux社区广泛流传着一条著名的林纳斯定律：“只要有足够多的眼睛，就可以让所有问题现形。”（Given enough eyeballs, all bugs are shallow）。凭借这个信念，林纳斯和很多内核开发者就是靠printk和眼睛来发现问题，解决问题，不用调试器，不用复杂工具。就这样，Linux内核走过10年，走过20年，走过30年，不断发展。但是最近两三年里，一个新的趋势开始挑战林...
CVE-2022-43781随便写写分析
2401_82670286的博客
01-29 1038
Atlassian Bitbucket Server和Atlassian Bitbucket Data Center都是澳大利亚Atlassian公司的产品。Atlassian Bitbucket Server是一款Git代码托管解决方案。该方案能够管理并审查代码，具有差异视图、JIRA集成和构建集成等功能。Atlassian Bitbucket Data Center是Atlassian Bitbucket的数据中心版本。
高性能网络SIG月度动态：virtio新设备进入virtio规范、smc新特性IPC性能比tcp提升88% | 龙蜥SIG
weixin_60347558的博客
01-11 423
在云计算时代，软硬件高速发展，云原生、微服务等新的应用形态兴起，让更多的数据在进程之间流动，而网络则成为了这些数据流的载体，在整个云时代扮演者前所未有的重要角色。
2023 HW 必修高危漏洞集合
holyxp的博客
07-21 4179
高危风险漏洞一直是企业网络安全防护的薄弱点，也成为 HW 攻防演练期间红队的重要突破口；每年 HW 期间爆发了大量的高危风险漏洞成为红队突破网络边界防护的一把利器，很多企业因为这些高危漏洞而导致整个防御体系被突破、甚至靶标失守而遗憾出局。HW 攻防演练在即，输出HW 必修高危漏洞手册，意在帮助企业在 HW 攻防演练的前期进行自我风险排查，降低因高危漏洞而“城池失守”的风险。
无胁科技-TVD每日漏洞情报-2022-11-21
wuthreat无胁科技的博客
11-21 603
参考链接:https://tvd.wuthreat.com/#/listDetail?参考链接:https://tvd.wuthreat.com/#/listDetail?参考链接:https://tvd.wuthreat.com/#/listDetail?参考链接:https://tvd.wuthreat.com/#/listDetail?参考链接:https://tvd.wuthreat.com/#/listDetail?漏洞编号:CVE-2022-42058;漏洞编号:CVE-2022-37197;
SourceTree跳过Bitbucket服务器或者Bitbucket登录的方法
pon的博客
03-19 6192
在安装sourcetree-3.3.8版本的时候，提示需要登录Bitbucket服务器或者Bitbucket账号，但是又不想登录或者想跳过怎么办呢，下面是本人亲自测试的解决办法，可行！！！分享出来 1. 关闭当前安装界面，新建accounts.json文件 在电脑系统盘中找到以下目录：C:\Users\Administrator\AppData\Local\Atlassian\SourceTree......
评论
成就一亿技术人!
拼手气红包6.0元
还能输入1000个字符
 
红包 添加红包
表情包 插入表情
表情包 代码片
 条评论被折叠 查看
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值