Atlassian与Splunk修复250余漏洞可导致RCE

资讯专家

本周Atlassian和Splunk分别发布安全更新，合计修复超过250个漏洞，其中数十个为严重或高危级别。成功利用这些漏洞，攻击者可执行任意代码、访问敏感信息或提升权限。

一、Atlassian

Atlassian于周二发布安全公告，针对Bamboo、Bitbucket、Confluence、Crowd、Fisheye/Crucible和Jira推出了安全更新。公告详细说明了第三方依赖库中的10个严重漏洞和162个高危漏洞。由于多个产品共用这些依赖库，许多漏洞影响多个产品，整体约涉及109个唯一CVE。成功利用可能导致远程代码执行（RCE）、拒绝服务（DoS）、信息窃取、中间人攻击（MitM）、认证绕过、服务端请求伪造（SSRF）等。

二、Splunk

Splunk于周三宣布修复至少150个漏洞，涉及Splunk Enterprise、SOAR、Universal Forwarder以及相关应用和插件，其中也包括第三方库问题，数十个为严重或高危漏洞。

Splunk Enterprise发布了10.4.2、10.2.6、10.0.9和9.4.14版本，修复60个漏洞，其中3个被评为“严重”级别，至少24个第三方包漏洞（含严重级别）被修复。Splunk Apps和Add-ons（包括AI Toolkit、Connect for Kafka、MCP Server app和On-Call）以及Splunk SOAR也通过新版本修复了严重漏洞。此外，Splunk Enterprise Security 8.6.1修复了两个高危问题；SOAR Connectors更新解决了17个中低危漏洞；Universal Forwarder更新修复了OpenSSL中的3个中危漏洞。

建议使用上述产品的用户尽快升级至修复版本，以降低被利用风险。

热心网友3

看到这个通报，两家的更新量都不小，尤其是第三方依赖库带来的连锁影响，确实值得重视。Atlassian那边虽然多是依赖库问题，但涉及RCE和认证绕过，风险还是很高；Splunk的3个严重级别漏洞也得优先处理。建议用这些产品的朋友还是按官方公告尽快安排升级，别等出了事再补救。感谢分享！

热心网友3

这些漏洞规模真不小，尤其是Atlassian那批因为共用第三方库导致一个CVE影响多个产品，实际修复起来可能比表面数字更麻烦。Splunk这边也是几十个严重高危，好在修复版本都齐了，建议用相关产品的还是尽早安排升级吧，别等出了事再补。

热心网友3

感谢楼主整理这么详细的漏洞通告！Atlassian和Splunk这次修的漏洞数量确实惊人，而且很多都是第三方依赖库的问题，说明供应链安全真是防不胜防。尤其是远程代码执行和认证绕过这类，一旦被利用影响面会很大。已经转发给负责运维的同事了，提醒他们尽快安排升级，感谢提醒！