Atlassian corrige más de 2 docenas de fallas, incluyendo error crítico en Bamboo

"Atlassian ha emitido parches para más de veinticuatro vulnerabilidades de seguridad, entre las cuales se incluye un error crítico que afecta a Bamboo Data Center and Server y que podría ser explotado sin necesidad de interacción por parte del usuario.

Identificada como CVE-2024-1597, esta vulnerabilidad posee una puntuación CVSS de 10,0, indicando su máxima gravedad.

Se describe como una vulnerabilidad de inyección SQL, con origen en una dependencia llamada org.postgresql:postgresql. A pesar de su criticidad, la compañía ha señalado que presenta un riesgo evaluado como más bajo."

Atlassian comunicó que esta vulnerabilidad asociada a la dependencia org.postgresql:postgresql podría posibilitar que un atacante no autenticado exponga activos en el entorno, susceptibles de ser explotados, lo que ocasionaría un alto impacto en la confidencialidad, integridad y disponibilidad de los sistemas afectados, sin requerir interacción por parte del usuario.

Según una descripción de la falla en la Base de Datos Nacional de Vulnerabilidades (NVD) del NIST, "pgjdbc, el controlador JDBC de PostgreSQL, permite al atacante inyectar SQL si usa PreferQueryMode=SIMPLE". Las versiones del controlador anteriores a las siguientes se ven afectadas:

• 42.7.2
• 42.6.1
• 42.5.5
• 42.4.4
• 42.3.9, y
• 42.2.28 (también corregido en 42.2.28.jre7)

Los mantenedores informaron en un comunicado el mes pasado que la inyección SQL se vuelve factible cuando se emplea la propiedad de conexión preferQueryMode=simple, que no es la predeterminada, junto con el código de la aplicación que contiene una vulnerabilidad SQL que niega un valor de parámetro.

Aclararon que no hay ninguna vulnerabilidad en el controlador cuando se utiliza el modo de consulta predeterminado. Por lo tanto, los usuarios que no modifican el modo de consulta no se ven afectados."

Se informa que la vulnerabilidad en Atlassian ha sido introducida en las siguientes versiones de Bamboo Data Center y Server:

• 8.2.1
• 9.0.0
• 9.1.0
• 9.2.1
• 9.3.0
• 9.4.0, y
• 9.5.0

La empresa también destacó que Bamboo y otros productos de Atlassian Data Center no se ven impactados por CVE-2024-1597, ya que no utilizan PreferQueryMode=SIMPLE en su configuración de conexión de base de datos SQL.

El investigador de seguridad de SonarSource, Paul Gerste, es acreditado por descubrir y notificar la falla. Se recomienda a los usuarios actualizar sus instancias a la versión más reciente como medida de protección contra posibles amenazas.

Fuente: No tienes permitido ver los links. Registrarse o Entrar a mi cuenta