CVE-2017-8907
Açıklama
5.15.7 öncesindeki Atlassian Bamboo 5.x ve 6.0.1 öncesindeki 6.x sürümleri, bir dağıtım projesi oluşturan kullanıcının düzenleme iznine ve dolayısıyla bunu yapma haklarına sahip olup olmadığını doğru şekilde kontrol etmemekteydi. Dağıtım projeleri için düzenleme izni olmayan bir kullanıcı olarak Bamboo'ya giriş yapabilen bir saldırgan, yeşil yapılandırmaya (green build) sahip mevcut bir plan olması durumunda bu zafiyeti kullanarak bir dağıtım projesi oluşturabilir ve uygun bir Bamboo Agent üzerinde rastgele kod çalıştırabilir. Varsayılan olarak yerel bir agent etkinleştirilmiştir; bu da kod çalıştırmanın, Bamboo'yu barındıran sistemde Bamboo'yu çalıştıran kullanıcı olarak gerçekleşebileceği anlamına gelir.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| atlassian bamboo | 5.0, 5.0.1, 5.1, 5.1.1, 5.2, 5.2.1, 5.2.2, 5.3, 5.4, 5.4.1, 5.4.2, 5.5, 5.6, 5.6.1, 5.6.2, 5.7, 5.7.1, 5.7.2, 5.8, 5.8.1, 5.8.2, 5.8.5, 5.9, 5.9.1, 5.9.2, 5.9.3, 5.9.4, 5.9.7, 5.11.3, 5.12.0, 5.12.1, 5.12.2, 5.12.4, 5.12.5, 5.13.0, 5.13.1, 5.13.2, 5.14.0, 5.14.1, 5.14.2, 5.14.3, 5.14.4.1, 5.14.5, 5.15.0, 5.15.2, 5.15.3, 5.15.4, 5.15.5, 6.0.0 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.