CVE-2019-11580criticalbajo ataqueransomware

CVE-2019-11580: fallo crítico en Atlassian Crowd

Publicada el · Actualizada el

Seguir esta CVE+ Monitorear Crowd+ Monitorear Crowd Data Center

Aviso por correo cuando entre en el KEV, tenga PoC pública o suba de nota.

100Vexday Risk Score

Corrige ahora. Ella está bajo explotación confirmada por CISA y tiene exploit funcional público.

ssvc Actcvss 9.8epss 95%
de la publicación al arma15 días
Publicada en NVD3 jun
1ª PoC+15d
metasploit22 may
CISA KEV+884d
Acción exigida por CISAplazo federal: 2022-05-03

Apply updates per vendor instructions.

En resumen

Atlassian Crowd tenía un plugin de desarrollo habilitado en las versiones de producción, permitiendo que atacantes instalen plugins maliciosos de forma remota sin autenticación y ejecuten código arbitrario en el servidor.

Detalle técnico

El plugin pdkinstall fue dejado incorrectamente habilitado en las versiones de lanzamiento de Crowd y Crowd Data Center, permitiendo que atacantes autenticados o sin autenticar instalen plugins arbitrarios mediante solicitudes directas, lo que resulta en ejecución remota de código. La vulnerabilidad afecta múltiples versiones (2.1.0–3.0.x, 3.1.x, 3.2.x, 3.3.x y 3.4.x) anteriores a sus versiones parcheadas.

Resumen generado y traducido por IA a partir de la descripción oficial.

El análisis completo de esta CVE está disponible en portugués →

Atlassian Crowd and Crowd Data Center had the pdkinstall development plugin incorrectly enabled in release builds. Attackers who can send unauthenticated or authenticated requests to a Crowd or Crowd Data Center instance can exploit this vulnerability to install arbitrary plugins, which permits remote code execution on systems running a vulnerable version of Crowd or Crowd Data Center. All versions of Crowd from version 2.1.0 before 3.0.5 (the fixed version for 3.0.x), from version 3.1.0 before 3.1.6 (the fixed version for 3.1.x), from version 3.2.0 before 3.2.8 (the fixed version for 3.2.x), from version 3.3.0 before 3.3.5 (the fixed version for 3.3.x), and from version 3.4.0 before 3.4.4 (the fixed version for 3.4.x) are affected by this vulnerability.
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Productos afectados
Atlassian · Crowd
⚠ Recursos públicos, para evaluar la exposición de sistemas que controlas o estás autorizado a probar. Prueba solo con autorización.
CVEs relacionadas — Atlassian Crowd

En el mismo producto, de las más peligrosas a las menos.

CVE-2019-20104—CVE-2019-20104EPSS 2.4%CVE-2017-18108—CVE-2017-18108EPSS 2.3%CVE-2018-20238—CVE-2018-20238EPSS 1.5%CVE-2017-18105—CVE-2017-18105EPSS 1.4%CVE-2019-15005—CVE-2019-15005EPSS 1.3%CVE-2020-36240—CVE-2020-36240EPSS 1.3%