The review attachment resource in Atlassian Fisheye and Crucible before version 4.3.2, from version 4.4.0 before 4.4.3 and before version 4.

Затронутые версии

Диапазоны версий NVD (для продуктов из каталога). Добавьте продукт в стек с версией, и сопоставление будет по ним.

• atlassian crucibleдо 4.3.2
• atlassian crucible4.4.0 и новее · до 4.4.3
• atlassian crucible4.4.5 и новее · до 4.5.0
• atlassian fisheyeдо 4.3.2
• atlassian fisheye4.4.0 и новее · до 4.4.3
• atlassian fisheye4.4.5 и новее · до 4.5.0

Версии, заявленные вендором

Диапазоны затронутых версий, заявленные назначающей организацией (atlassian). Не зависят от анализа CPE в NVD и обычно опережают его.

• Atlassian Fisheye and Crucible

  • unspecified и новее · до 4.3.2затронута
  • 4.4.0 и новее · до unspecifiedзатронута
  • unspecified и новее · до 4.4.3затронута

Другие записи с наивысшей оценкой для того же основного продукта.

• CVE-2021-43958Various rest resources in Fisheye and Crucible before version 4.8.9 allowed remote attackers to brute force user login credentials as rest r
  39Наблюдать
• CVE-2017-14591Atlassian Fisheye and Crucible versions less than 4.4.3 and version 4.5.0 are vulnerable to argument injection through filenames in Mercuria
  37Наблюдать
• CVE-2020-4018The setup resources in Atlassian Fisheye and Crucible before version 4.8.1 allows remote attackers to complete the setup process via a cross
  35Наблюдать
• CVE-2018-13399The Microsoft Windows Installer for Atlassian Fisheye and Crucible before version 4.6.1 allows local attackers to escalate privileges becaus
  31Наблюдать
• CVE-2017-9511The MultiPathResource class in Atlassian Fisheye and Crucible, before version 4.4.1 allows anonymous remote attackers to read arbitrary file
  31Наблюдать
• CVE-2017-9512The mostActiveCommitters.do resource in Atlassian Fisheye and Crucible, before version 4.4.1 allows anonymous remote attackers to access sen
  31Наблюдать

Ежедневная оценка FIRST EPSS; записываются только изменения от 0,01 (ступенчатый график).

Первопричина

Имя файла, переданное пользователем, объединяется с разрешённым каталогом, но не проверяется, остаётся ли результат внутри этого каталога.

Показательный пример этого класса уязвимостей. Это не исходный код вендора; показан ошибочный шаблон и его исправление.

1const file = path.join(ROOT, req.query.name);2res.sendFile(file);

1const file = path.resolve(ROOT, req.query.name);2if (!file.startsWith(ROOT + path.sep)) {3  return res.sendStatus(400);4}5res.sendFile(file);

Контекст атаки

Шаблоны атак MITRE CAPEC и техники ATT&CK для этого класса уязвимости (CWE). Отправная точка для правил обнаружения и threat hunting.