PT-2022-5601 · Atlassian · Crowd

Ashish Kotha

·

Publicado

2022-11-16

·

Atualizado

2024-10-02

·

CVE-2022-43782

CVSS v3.1

10

Crítica

VetorAV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Nome do software vulnerável e versões afetadas
Versões do Atlassian Crowd de 3.x.x a 5.x.x anteriores à 5.0.3
Versões do Atlassian Crowd 4.x.x anteriores à 4.4.4
Descrição
O problema está relacionado a erros durante o procedimento de autenticação na API REST do produto de processamento de dados Atlassian Crowd. Isso pode permitir que um invasor remoto eleve seus privilégios. A vulnerabilidade pode ser explorada chamando endpoints privilegiados na API REST do Crowd sob o caminho usermanagement. No entanto, a exploração é limitada aos IPs especificados na lista de permissões do aplicativo Crowd na configuração de Endereços Remotos, que está vazia por padrão.
Recomendações
Para versões 3.x.x, atualize para uma versão posterior à 5.0.3 para resolver o problema.
Para versões 4.x.x anteriores à 4.4.4, atualize para a versão 4.4.4 ou posterior para resolver o problema.
Para versões 5.x.x anteriores à 5.0.3, atualize para a versão 5.0.3 ou posterior para resolver o problema.
Como solução alternativa temporária, considere restringir o acesso ao caminho usermanagement na API REST para minimizar o risco de exploração.

Correção

Improper Authentication

Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾

Enumeração de Fraquezas

Identificadores relacionados

BDU:2022-06964
CVE-2022-43782

Produtos afetados

Crowd