Atlassian-Produkte: Unauthentifizierter Zugriff auf Webverzeichnisse

Mehrere Atlassian-Produkte – darunter Bitbucket, Confluence, Jira Software, Jira Service Management, Bamboo, Crowd, Crucible und Fisheye – enthalten eine Schwachstelle, die es unauthentifizierten Angreifern ermöglicht, auf bestimmte Dateien im Web-Application-Root-Verzeichnis zuzugreifen. Dies kann zur Offenlegung sensibler Konfigurationsdaten wie Datenbankzugangsdaten, API-Schlüssel oder interner Systemstrukturen führen. Atlassian-Produkte werden in Gesundheitseinrichtungen häufig als Kollaborations- und Projektmanagement-Plattformen sowie zur Verwaltung von IT-Serviceprozessen eingesetzt; sofern diese Systeme im Klinikumfeld betrieben werden, besteht das Risiko, dass Angreifer über offengelegte Konfigurationsdaten weiteren Zugang zu internen Systemen erlangen und damit indirekt auch patientendatenverarbeitende Systeme gefährden könnten. Betroffene Instanzen sollten umgehend gepatcht, der externe Zugriff eingeschränkt und die Logs auf Anzeichen einer bereits erfolgten Ausnutzung untersucht werden.

1 Atlassian-Sicherheitsadvisory zu den betroffenen Produkten (Bitbucket, Confluence, Jira, Bamboo, Crowd, Crucible, Fisheye) prüfen und alle installierten Instanzen auf die jeweils aktuell gepatchten Versionen aktualisieren – Versionsangaben unter https://confluence.atlassian.com/security einsehen.