SecBoard
Zurück zur Übersicht
Mittel40 / 100Konfidenz: Mittel
CVSS9.1EPSS3 %Über Netz erreichbarOhne AnmeldungOhne Zutun des Nutzers

Umgehende Installation der von Atlassian bereitgestellten Sicherheitspatches für alle betroffenen Produkte.

Herleitung der Bewertung(4)

Wie der Wert zustande kommt

  • Hoechster CVSS-Basiswert 9.1+16
  • Ohne Anmeldung ueber das Netz ausnutzbar (CVE-2026-12143, CVSS-Vektor AV:N/PR:N)+10
  • Belegte Wirkungstaktik: collection+8
  • Belegte Angriffskette ueber 3 Kill-Chain-Phasen+6

Woraus sich die Konfidenz ergibt

  • Nur ein Herausgeber — keine Gegenlesung
  • Darunter eine behoerdliche Primaerquelle
  • Strukturierte CVE-Daten aus der NVD vorhanden

Die Konfidenz misst die Belegqualität, nicht die Schwere.

Einschränkungen

  • 7 im Text genannte CVE(s) liegen uns nicht vor und gehen nicht in die Bewertung ein: CVE-2022-46175, CVE-2026-47759, CVE-2026-47761, CVE-2026-47762, CVE-2026-53404, CVE-2026-53434, CVE-2026-55276
  • Fuer 2 erkannte CVE(s) liegt noch kein CVSS-Basiswert vor (NVD-Rueckstau).

Bewertung v1.1, deterministisch berechnet. Bedrohungswert und Konfidenz sind getrennte Größen.Methodik

[NEU] [hoch] Atlassian Bamboo, Bitbucket, Confluence, Fisheye/Crucible, Jira Software und Jira Service Management: Mehrere Schwachstellen

CERT-Bund·
Originalartikel lesen bei CERT-Bund

Mehrere Atlassian-Produkte wie Bamboo, Bitbucket, Confluence und Jira weisen kritische Schwachstellen auf, die Angreifern die Ausführung beliebigen Codes oder die Umgehung von Sicherheitsmaßnahmen ermöglichen. Betroffen sind diverse Versionen auf Linux, UNIX und Windows. Nutzer sollten umgehend die bereitgestellten Updates installieren, um ihre Systeme zu schützen.

SecBoard-Einordnung

Die Schwachstellen ermöglichen die Ausführung von beliebigem Code und die Umgehung von Sicherheitsmaßnahmen, was zu einem vollständigen Systemkompromiss führen kann. SSRF-Angriffe können interne Systeme offenlegen und weitere Angriffe ermöglichen.

Realistisch schlimmster Fall: Ein Angreifer könnte die Kontrolle über betroffene Atlassian-Instanzen übernehmen, sensible Daten exfiltrieren, weitere Systeme im Netzwerk kompromittieren und weitreichende Betriebsunterbrechungen verursachen.

Empfehlung: Umgehende Installation der von Atlassian bereitgestellten Sicherheitspatches für alle betroffenen Produkte. Überprüfung der Systeme auf Anzeichen einer Kompromittierung nach der Patch-Installation.

Im erfassten Bestand

  • CVE-2026-4800 kommt damit in 8 erfassten Meldungen der letzten 90 Tage vor.

Gezählt im eigenen Bestand, rückwärts ab dem Erscheinungsdatum. Das ist Belegstärke, keine Aussage über die Häufigkeit in der Welt.

Key Facts· 12 / 64

Nach Dringlichkeit sortiert: KEV-Eintrag, dann CVSS, dann EPSS. Vollstaendige Liste im Meldungstext.

CVSS
9.1 · CRITICAL
EPSS
0.4%
Über das Netz
ja
Anmeldung nötig
nein
Nutzerinteraktion nötig
nein
Angriffskomplexität
niedrig
Beeinträchtigt
Vertraulichkeit, Integrität
Patch
unbekannt
CVSS
9.1 · CRITICAL
EPSS
0.3%
Über das Netz
ja
Anmeldung nötig
nein
Nutzerinteraktion nötig
nein
Angriffskomplexität
niedrig
Beeinträchtigt
Vertraulichkeit, Integrität
Patch
unbekannt
CVSS
8.7 · HIGH
EPSS
0.3%
Über das Netz
ja
Anmeldung nötig
nein
Nutzerinteraktion nötig
nein
Angriffskomplexität
hoch
Beeinträchtigt
Vertraulichkeit, Integrität
Patch
4.2.15.Final
Zuweisende CNA
security-advisories@github.com
CVSS
8.7 · HIGH
EPSS
0.2%
Über das Netz
ja
Anmeldung nötig
nein
Nutzerinteraktion nötig
nein
Angriffskomplexität
hoch
Beeinträchtigt
Vertraulichkeit, Integrität
Patch
4.2.15.Final
Zuweisende CNA
security-advisories@github.com
CVSS
8.2 · HIGH
EPSS
0.1%
Über das Netz
nein
Anmeldung nötig
ja
Nutzerinteraktion nötig
ja
Angriffskomplexität
niedrig
Beeinträchtigt
Vertraulichkeit, Integrität, Verfügbarkeit
Patch
7.29.4
CVSS
8.1 · HIGH
EPSS
2.8%
Über das Netz
ja
Anmeldung nötig
nein
Nutzerinteraktion nötig
nein
Angriffskomplexität
hoch
Beeinträchtigt
Vertraulichkeit, Integrität, Verfügbarkeit
Patch
unbekannt
CVSS
8.1 · HIGH
EPSS
1.0%
Über das Netz
ja
Anmeldung nötig
nein
Nutzerinteraktion nötig
nein
Angriffskomplexität
hoch
Beeinträchtigt
Vertraulichkeit, Integrität, Verfügbarkeit
Patch
4.2.15.Final
Zuweisende CNA
security-advisories@github.com
CVSS
8.1 · HIGH
EPSS
0.9%
Über das Netz
ja
Anmeldung nötig
nein
Nutzerinteraktion nötig
nein
Angriffskomplexität
hoch
Beeinträchtigt
Vertraulichkeit, Integrität, Verfügbarkeit
Patch
2.18.8
Zuweisende CNA
security-advisories@github.com
CVSS
8.1 · HIGH
EPSS
0.9%
Über das Netz
ja
Anmeldung nötig
nein
Nutzerinteraktion nötig
nein
Angriffskomplexität
hoch
Beeinträchtigt
Vertraulichkeit, Integrität, Verfügbarkeit
Patch
2.18.8
CVSS
7.5 · HIGH
EPSS
0.9%
Über das Netz
ja
Anmeldung nötig
nein
Nutzerinteraktion nötig
nein
Angriffskomplexität
niedrig
Beeinträchtigt
Verfügbarkeit
Patch
5.4.3
CVSS
7.5 · HIGH
EPSS
0.9%
Über das Netz
ja
Anmeldung nötig
nein
Nutzerinteraktion nötig
nein
Angriffskomplexität
niedrig
Beeinträchtigt
Verfügbarkeit
Patch
4.2.15.Final
Zuweisende CNA
security-advisories@github.com
CVSS
7.5 · HIGH
EPSS
0.8%
Über das Netz
ja
Anmeldung nötig
nein
Nutzerinteraktion nötig
nein
Angriffskomplexität
niedrig
Beeinträchtigt
Verfügbarkeit
Patch
unbekannt
Zuweisende CNA
security@apache.org

Betroffen

Organisationen, die Atlassian Bamboo, Bitbucket, Confluence, Fisheye/Crucible, Jira Software oder Jira Service Management einsetzen, sind betroffen.

Hersteller

ApacheBouncycastleFasterxmlLodashNetty

Produkte

BC JavaBouncy Castle For Java LTSFips Java ApiJackson DatabindLodashLodash AmdLodash EsLodash.templateNettyTomcat
CPE-Rohbezeichner anzeigen (10)
  • cpe:2.3:a:apache:tomcat:*:*:*:*:*:*:*:*
  • cpe:2.3:a:bouncycastle:bc-java:*:*:*:*:*:*:*:*
  • cpe:2.3:a:bouncycastle:bouncy_castle_for_java_lts:*:*:*:*:*:*:*:*
  • cpe:2.3:a:bouncycastle:fips_java_api:*:*:*:*:*:*:*:*
  • cpe:2.3:a:fasterxml:jackson-databind:*:*:*:*:*:*:*:*
  • cpe:2.3:a:lodash:lodash-amd:*:*:*:*:*:node.js:*:*
  • cpe:2.3:a:lodash:lodash-es:*:*:*:*:*:node.js:*:*
  • cpe:2.3:a:lodash:lodash.template:*:*:*:*:*:node.js:*:*
  • cpe:2.3:a:lodash:lodash:*:*:*:*:*:node.js:*:*
  • cpe:2.3:a:netty:netty:*:*:*:*:*:*:*:*

Prüfen

3
  • Überprüfen Sie, ob alle Atlassian-Produkte (Bamboo, Bitbucket, Confluence, Fisheye/Crucible, Jira Software, Jira Service Management) auf dem neuesten Stand sind und die empfohlenen Sicherheitspatches angewendet wurden.
  • Scannen Sie Ihre Atlassian-Instanzen auf bekannte Schwachstellen und Fehlkonfigurationen, die von diesen Schwachstellen ausgenutzt werden könnten.
1 weitere
  • Überwachen Sie Netzwerkverkehr und Systemprotokolle Ihrer Atlassian-Server auf ungewöhnliche Aktivitäten, insbesondere auf ausgehende Verbindungen (SSRF-Indikatoren) oder unerwartete Code-Ausführungen.

Offene Punkte

3
anzeigen
  • Die spezifischen CVE-IDs der Schwachstellen sind nicht angegeben.
  • Die genauen Versionen der betroffenen Atlassian-Produkte sind nicht spezifiziert.
  • Details zu den Angriffsvektoren und der Komplexität der Ausnutzung sind nicht im Artikel enthalten.

Red-Team-Relevanz

Was heißt das für dein nächstes Assessment?

Einordnung anzeigen
  • Initial Access möglich?Ja
  • Privilege Escalation relevant?Unklar
  • Exploit öffentlich verfügbar?Ja
  • Detection / Logging prüfbar?Ja
  • Für Purple-Team-Szenario geeignet?Ja

Kundenfragen

  • Haben wir Windows extern erreichbar?
  • Können wir Reconnaissance detektieren?
  • Können wir Resource Development detektieren?

MITRE ATT&CK(8)

Techniken aus allen Quellen zusammengeführt — nach Stärke des Belegs sortiert.

T1059Command and Scripting Interpreterzugeordnet

beliebigen Programmcode auszuführen

T1190Exploit Public-Facing Applicationzugeordnet

Ein Angreifer kann mehrere Schwachstellen in Atlassian [...] ausnutzen

T1562Impair Defenseszugeordnet

Sicherheitsmaßnahmen zu umgehen

T1565Data Manipulationzugeordnet

serverseitige Request-Forgery-Angriffe (SSRF) durchzuführen

T1213.001Data from Information Repositories: Confluenceabgeleitet
T1583.004Acquire Infrastructure: Serverabgeleitet
T1584.004Compromise Infrastructure: Serverabgeleitet
T1592.002Gather Victim Host Information: Softwareabgeleitet

Mehrere Herkünfte bei derselben Technik heißt: mehrere unabhängige Wege führen dorthin.

Kill-Chain-Phasen

Wie weit im Ablauf die belegten Techniken liegen — je Technik die früheste Phase.

Auskundschaften

1

Bewaffnung

2

Zustellung

0

Ausnutzung

0

Einnistung

0

Fernsteuerung

0

Zielhandlung

1

Quellen & Belege· 1 Quelle

CERT-BundPrimärbelegPUBLICZuverlässigkeit Adiese Meldung

Behoerdliche Veroeffentlichung mit Amtspflicht zur Richtigkeit, frei zugaenglich.

  • Nur eine Quelle — der Sachverhalt ist an keiner zweiten Stelle gegengelesen.

Verknüpfte Intelligence

Dieselben Entitäten an anderer Stelle auf SecBoard.

Themen
hoch