Atlassian e Cisco corrigem falhas críticas que permitem execução remota de código

A Atlassian e a Cisco anunciaram esta semana o lançamento de atualizações de segurança que corrigem várias vulnerabilidades de alta gravidade nos seus produtos, algumas das quais permitiam a execução remota de código por parte de atacantes.

No caso da Atlassian, foram lançadas sete atualizações destinadas a resolver quatro falhas de segurança críticas em componentes de terceiros utilizados nas plataformas Bamboo, Confluence e Jira. Entre estas, encontram-se vulnerabilidades que já eram conhecidas publicamente há quase seis anos.

Uma das correções mais relevantes abordou uma vulnerabilidade de negação de serviço (DoS) no Netplex Json-smart, que podia ser explorada sem necessidade de autenticação. Este problema, identificado como CVE-2024-57699, afetava o Bamboo Data Center and Server, o Jira Data Center and Server, e o Jira Service Management Data Center and Server.

Outras atualizações para o Jira e Jira Service Management resolveram uma falha de injeção de entidades externas em XML (XXE), classificada como CVE-2021-33813, que também resultava numa condição DoS.

O Confluence Data Center and Server recebeu igualmente atualizações para duas vulnerabilidades: uma falha de DoS na framework Netty e outra de tipo XXE numa biblioteca de terceiros.

Já a Cisco emitiu correções para três vulnerabilidades nas suas soluções Webex, Secure Network Analytics e Nexus Dashboard. Na aplicação Webex, foi corrigida uma falha de alta gravidade que permitia a execução remota de código arbitrário. O ataque podia ser desencadeado se um utilizador fosse induzido a clicar num link de convite para reunião malicioso, levando ao download de ficheiros não autorizados.

As versões 7.5.0, 7.5.1 e 7.5.2 do Secure Network Analytics foram atualizadas para corrigir uma vulnerabilidade de gravidade média que possibilitava a atacantes autenticados obter acesso à Shell com privilégios de root.

No Nexus Dashboard, foi resolvida uma falha também de gravidade média, que permitia a atacantes remotos não autenticados identificar nomes de utilizadores válidos em contas LDAP.