Atlassian Crowd远程号令执行缝隙安全公告
颁布功夫 2019-07-17缝隙编号和级别
CVE编号：CVE-2019-11580，， ，， ，， ，危险级别：严沉，， ，， ，， ，CVSS分值：9.8
影响版本
Atlassian Crowd 3.4.3
Atlassian Crowd 3.4
Atlassian Crowd 3.3.4
Atlassian Crowd 3.3.3
Atlassian Crowd 3.3.1
Atlassian Crowd 3.3
Atlassian Crowd 3.2.1 - 3.2.7
Atlassian Crowd 3.2
Atlassian Crowd 3.1.5
Atlassian Crowd 3.1
Atlassian Crowd 3.0.4
Atlassian Crowd 2.11.1
Atlassian Crowd 2.11
Atlassian Crowd 2.10.3
Atlassian Crowd 2.10.1
Atlassian Crowd 2.9.7
Atlassian Crowd 2.9.1 - 2.9.5
Atlassian Crowd 2.9
Atlassian Crowd 2.8.8
Atlassian Crowd 2.8.3
Atlassian Crowd 2.7
Atlassian Crowd 2.6.0 - 2.6.3
Atlassian Crowd 2.5.3 - 2.5.4
Atlassian Crowd 2.5.0 - 2.5.2
Atlassian Crowd 2.4.9
Atlassian Crowd 2.4.1
Atlassian Crowd 2.4
Atlassian Crowd 2.3.6 - 2.3.8
Atlassian Crowd 2.3.1 - 2.3.4
Atlassian Crowd 2.2.9
Atlassian Crowd 2.2.7
Atlassian Crowd 2.2.4
Atlassian Crowd 2.2.2
Atlassian Crowd 2.1.1 - 2.1.2
Atlassian Crowd 2.1
缝隙概述
Crowd是一个单一易用的单一登录和用户治理软件，， ，， ，， ，为用户提供一组用户名和密码来登录必要接见的所有利用。。。。。无缝集成 Jira、Confluence 和 Bitbucket 等所有 Atlassian 产品，， ，， ，， ，为用户提供单一登录 (SSO) 履历。。。。。集中多个目录，， ，， ，， ，将肆意目录组合映射到单个利用，， ，， ，， ，而后在统一地位治理身份验证权限。。。。。合用于 AD、LDAP、Microsoft Azure AD、Novell eDirectory 等的衔接器。。。。。
Atlassian Crowd存在远程号令执行缝隙，， ，， ，， ，此缝隙由于Atlassian Crowd的com.atlassian.pdkinstall.PdkInstallFilter允许攻击者在/admin/uploadplugin.action蹊径下使用Multipart体式上传文件，， ，， ，， ，攻击者能够利用此方式向服务器上传恶意文件,获取服务器权限,实现远程号令执行缝隙的利用。。。。。
缝隙验证
建复建议
目前已颁布新版本，， ，， ，， ，升级到Crowd对应的最新版本3.4.4，， ，， ，， ，3.3.5，， ，， ，， ，3.2.8，， ，， ，， ，3.1.6，， ，， ，， ， 3.0.5。。。。。下载链接：https://www.atlassian.com/software/crowd/download。。。。。
参考链接
京公网安备11010802024551号