アトラシアンとスプランクは今週、両社製品にまたがる250件超の脆弱性に対するパッチを発表しました。この中には緊急・重要度の高い欠陥が数十件含まれています。
アトラシアンは火曜日、セキュリティ情報を公開し、サードパーティ製の依存ライブラリに存在する緊急度の高い脆弱性10件と重要度の高い脆弱性162件について詳細を明らかにしました。これらはBamboo、Bitbucket、 Confluence、Crowd、Fisheye/Crucible、Jiraに対する最新のセキュリティアップデートで修正されています。
脆弱性のあるライブラリは複数の製品で共有されているため、修正されたセキュリティ上の欠陥の多くが複数製品に影響します。全体として、今回の修正はおよそ109件のユニークなCVEに対応しているとみられます。
これらの不具合が悪用された場合、攻撃者はリモートコード実行(RCE)、サービス拒否(DoS)、情報窃取、中間者攻撃(MitM)、認証バイパス、サーバーサイドリクエストフォージェリ(SSRF)など、さまざまな種類の攻撃を仕掛けられる可能性があります。
スプランクは水曜日、Splunk Enterprise、SOAR、Universal Forwarder、およびそれらに関連するアプリやプラグイン全般にわたり、少なくとも150件の脆弱性を修正したと発表しました。この中にはサードパーティ製ライブラリに影響する問題も含まれています。
数十件が緊急度・重要度の高い脆弱性であり、その一部は特に注意を払うべきだとスプランクは述べています。
Splunk Enterpriseのバージョン10.4.2、10.2.6、10.0.9、9.4.14では、60件の脆弱性に対する修正が展開され、そのうち3件は「緊急」の深刻度評価を受けています。緊急度の高いものを含む少なくとも24件のセキュリティ上の欠陥が、この製品内のサードパーティ製パッケージにおいて修正されました。
緊急度の高い不具合は、Splunk AppsおよびAdd-ons(AI Toolkit、Connect for Kafka、MCP Serverアプリ、On-Callを含む)ならびにSplunk SOARの最新バージョンでも解消されています。SOAR内のサードパーティ製依存関係に存在する複数の欠陥も併せて修正されました。
スプランクはEnterprise Securityのバージョン8.6.1を展開し、重要度の高い問題2件を修正したほか、SOAR Connectorsを更新して中程度・低程度の不具合17件を解消し、さらにUniversal Forwarderのアップデートでは、OpenSSLに存在する中程度の脆弱性3件に対応しました。
