Atlassian 취약점 패치(Bamboo, Bitbucket, Confluence, Crowd)

Atlassian Patches Vulnerabilities in Bamboo, Bitbucket, Confluence, Crowd

 

• 취약점 개요
  • Atlassian은 2024년 9월 보안 공지를 통해 Bamboo, Bitbucket, Confluence, Crowd에서 발견된 4개의 고위험 취약점에 대한 패치를 발표
  • 모든 취약점은 서비스 거부(Denial-of-Service, DoS) 공격을 유발할 수 있으며, 이를 악용하여 공격자는 시스템을 과부하 상태로 만들거나 응답 불가 상태로 만들 수 있음
• Bamboo
  • CVE-2024-34750
    • Apache Tomcat Coyote에서 HTTP/2 스트림 처리 중 일부 헤더가 잘못 처리되어 무한 대기 시간이 발생, 연결이 닫히지 않고 유지되는 문제가 있음
    • 이 문제는 인증되지 않은 공격자가 악용할 수 있으며, 사용자 상호작용이 필요 없음
• Bitbucket
  • CVE-2024-34750
    • Bamboo와 동일한 Apache Tomcat Coyote 취약점
  • CVE-2024-32007
    • Apache CXF JOSE 코드에서 입력 검증 오류로 인해 p2c 파라미터에 큰 값을 지정함으로써 DoS 공격을 유발할 수 있음
• Confluence
  • CVE-2024-29857
    • Bouncy Castle Java 의존성에서 발견된 취약점
  • CVE-2024-22871
    • Clojure에서 발생한 취약점으로 DoS 공격을 유발할 수 있음
• Crowd
  • CVE-2024-29857
    • Confluence와 동일한 Bouncy Castle Java 취약점이 포함된 업데이트가 적용됨
• 패치 권고
  • Atlassian은 모든 취약점을 고객 버그 바운티 프로그램을 통해 보고받았으며, 기밀성이나 무결성에 영향을 미치지는 않음
  • 현재까지 실제 공격에서 취약점이 악용된 사례는 없지만, Atlassian은 최신 버전 또는 수정된 버전으로 즉시 업데이트할 것을 권장