BDU:2025-11336

Опубликовано: 07 мая 2021

Источник: fstec

CVSS3: 9.1

CVSS2: 8

EPSS Низкий

Описание

Уязвимость среды для разработки веб-приложений Atlassian Connect Spring Boot связана с недостатками процедуры аутентификации. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, обойти процедуру аутентификации

Вендор

Atlassian

Наименование ПО

Connect Spring Boot

Версия ПО

от 1.1.0 до 2.1.3 (Connect Spring Boot)

от 2.1.4 до 2.1.5 (Connect Spring Boot)

Тип ПО

Прикладное ПО информационных систем

Операционные системы и аппаратные платформы

Уровень опасности уязвимости

Высокий уровень опасности (базовая оценка CVSS 2.0 составляет 8)

Критический уровень опасности (базовая оценка CVSS 3.1 составляет 9,1)

Возможные меры по устранению уязвимости

Использование рекомендаций производителя:

https://community.developer.atlassian.com/t/action-required-atlassian-connect-vulnerability-allows-bypass-of-app-qsh-verification-via-context-jwts/47072

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Данные уточняются

Информация об устранении

Уязвимость устранена

Ссылки на источники

Идентификаторы других систем описаний уязвимостей

https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2021-26077
CVE

EPSS

Процентиль: 59%

0.00388

Низкий

9.1 Critical

CVSS3

8 High

CVSS2

Связанные уязвимости

CVE-2021-26077

CVSS3: 8.8

nvd

больше 4 лет назад

Broken Authentication in Atlassian Connect Spring Boot (ACSB) in version 1.1.0 before 2.1.3 and from version 2.1.4 before 2.1.5: Atlassian Connect Spring Boot is a Java Spring Boot package for building Atlassian Connect apps. Authentication between Atlassian products and the Atlassian Connect Spring Boot app occurs with a server-to-server JWT or a context JWT. Atlassian Connect Spring Boot versions 1.1.0 before 2.1.3 and versions 2.1.4 before 2.1.5 erroneously accept context JWTs in lifecycle endpoints (such as installation) where only server-to-server JWTs should be accepted, permitting an attacker to send authenticated re-installation events to an app.

GHSA-2x7v-w2mv-f3rx