Atlassian objavio oktobarski bilten sa 75 zakrpa, od kojih 6 kritičnih

Atlassian je objavio oktobarski bezbednosni bilten za Data Center i Server proizvode. Kompanija navodi 162 ranjivosti visoke ozbiljnosti i 14 kritičnih, ali SecurityWeek prebrojava 75 jedinstvenih CVE, od kojih je šest kritičnih. Razlika nastaje zato što se mnogi CVE pojavljuju u više proizvoda.

Kritični propusti su vezani za Apache Tomcat, Bouncy Castle, Netty i Apache SSHD. Za svaki od njih Atlassian napominje da je stvarni rizik niži od kritičnog zbog načina na koji se komponenta koristi u njihovim proizvodima.

Preostale ranjivosti visoke ozbiljnosti pogađaju široko korišćene biblioteke otvorenog koda, uključujući Jackson, Axios, Spring, Apache Struts i Apache ActiveMQ. Mnoge omogućavaju obaranje uređaja, a druge su opisane kao kriptografske slabosti, problemi provere identiteta i ovlašćenja, SSRF, otkrivanje podataka i izvršavanje koda.

Atlassian navodi da sve ranjivosti iz mesečnog biltena ocenjuje kao nekritičan rizik za korisnike i ne pominje da se neka od njih već koristi u napadima. Na portalu za objavu ranjivosti naveden je i CVE-2026-65905, kritičan propust u Apache Tomcatu, ali se on ne pojavljuje u oktobarskom biltenu.

Šta uraditi - Proveriti verzije Bamboo, Bitbucket, Confluence, Crowd, Fisheye/Crucible, Jira Software i Jira Service Management i primeniti ispravke navedene u biltenu.