Atlassian hat für Bamboo, Confluence und Jira Aktualisierungen herausgegeben, die als hohes Risiko eingestufte Sicherheitslücken in den Produkten abdichten sollen. IT-Verantwortliche sollten die Updates zeitnah herunterladen und anwenden.

In der Übersicht der April-Updates von Atlassian gehen die Entwickler auf Details zu den Schwachstellen ein. In Bamboo steckt eine Denial-of-Service-Schwachstelle aufgrund der Drittherstellerkomponente Netplex Json-smart (CVE-2024-57699, CVSS 7.5, Risiko „hoch„). Confluence ist aufgrund der „io.netty“-Komponente ebenfalls für eine Denial-of-Service-Situation anfällig (CVE-2025-24970, CVSS 7.5, Risiko „hoch„). Außerdem können Angreifer eine XML External Entity Injection-Schwachstelle (XXE) in der Bibliothek „org.codehaus.jackson:jackson-mapper-asl“ missbrauchen – die Lücke scheint schon gut abgehangen zu sein und hat einen Schwachstelleneintrag von 2019 (CVE-2019-10172, CVSS 7.5, Risiko „hoch„).

Atlassian: Weitere Sicherheitslücken

Eine weitere XXE-Schwachstelle betrifft Jira (CVE-2021-33813, CVSS 7.7, Risiko „hoch„). Zudem können Angreifer aufgrund einer Schwachstelle in der „net.minidev.json-smart“-Bibliothek eine Denial-of-Service-Situation auslösen (CVE-2024-57699, CVSS 7.5, Risiko „hoch„). Jira Service Management enthält ebenfalls eine XXE-Lücke (CVE-2021-33813, CVSS 7.7, Risiko „hoch„) und teilt die Schwachstelle in der „net.minidev.json-smart“-Bibliothek mit Jira.

Betroffen sind unterschiedliche Entwicklungszweige der Software, aber zum Korrigieren der sicherheitsrelevanten Fehler stellt Atlassian folgende Versionen bereit:

  • Bamboo Data Center and Server 10.2.3 (LTS) sowie 9.6.11 und 9.6.12 (LTS)
  • Confluence Data Center and Server 9.4.0, 9.2.3 (LTS) sowie 8.5.21 (LTS)
  • Jira Data Center and Server 10.5.1, 10.3.5 (LTS) sowie 9.12.22 (LTS)
  • Jira Service Management Data Center and Server 10.5.1, 10.3.5 (LTS) und 5.12.22 (LTS)

Im Februar hatte Atlassian ebenfalls Aktualisierungen veröffentlicht, die hochriskante Schwachstellen ausbessern. Dort waren neben Bamboo auch Bitbucket und Jira von den Sicherheitslücken betroffen.

(dmk)