Опубликован PoC-код для критической уязвимости в Atlassian Crowd

Специалист по безопасности Корбен Лио (Corben Leo) опубликовал на GitHub эксплоит для уязвимости (CVE-2019-11580) в решении Atlassian Crowd, позволяющей удаленно выполнить код.

Проблема связана с некорректной активацией плагина для разработки (pdkinstall), поставляемого в составе релизных сборок. С помощью данной уязвимости злоумышленник с возможностью отправки авторизованных или неавторизованных запросов к экземпляру Crowd или Crowd Data Center может установить произвольные плагины, позволяющие выполнить код на системах с уязвимыми версиями Crowd или Crowd Data Center.

Лио проанализировал pdkinstall и разработал метод, позволяющий удаленно установить вредоносный плагин. Описание метода доступно здесь .

Уязвимость затрагивает версии Atlassian Crowd и Crowd Data Center 2.1.0 – 3.0.4, 3.1.0 – 3.1.5, 3.2.0 – 3.2.7, 3.3.0 – 3.3.4, 3.4.0 – 3.4.3. Специалисты настоятельно рекомендуют пользователям обновиться до версий ПО 3.0.5, 3.1.6, 3.2.8, 3.3.5 или 3.4.4. Если по каким-то причинам произвести обновление невозможно, пользователи могут отключить Crowd, удалить плагин pdkinstall и повторно запустить приложение.

Atlassian Crowd – программное приложение, позволяющее осуществлять вход пользователей во все приложения Atlassian при однократном вводе идентификационных данных в соответствии с протоколом SSO (Single sign-on). Программа самостоятельно управляет регистрацией пользователей в разных приложениях, однозначно идентифицируя их при первом входе в систему.