Atlassian und Splunk schließen kritische Schwachstellen

Zusammenfassung

Atlassian und Splunk haben am Mittwoch Sicherheitsupdates für mehrere Produkte angekündigt, darunter auch Korrekturen für Schwachstellen mit kritischer Einstufung. Bei Splunk betrifft die schwerwiegendste Lücke das AI Toolkit: Ein angemeldeter Angreifer mit Administratorrolle konnte dort beliebige Betriebssystembefehle auf dem Host ausführen, auf dem die Splunk-Enterprise-Instanz läuft. Splunk führt das Problem auf ein unsicheres Shell-Ausführungsmuster im Konfigurationshelfer btool zurück. Parallel dazu hat Atlassian 100 Sicherheitsbulletins veröffentlicht, die Dutzende Schwachstellen in mehreren Data-Center- und Server-Produkten behandeln. Nach Angaben des Unternehmens betreffen die mit den neuen Updates behobenen Schwachstellen durchweg Fremdkomponenten, die in Atlassian-Produkten eingesetzt werden. Genannt werden dabei unter anderem kritische Probleme in Axios, Apache Tomcat und Netty.

Splunk hat im AI Toolkit eine kritische Schwachstelle mit der Kennung CVE-2026-20266 und einem CVSS-Wert von 9,1 behoben. Nach Angaben des Unternehmens konnte ein authentifizierter Angreifer mit Administratorrechten dadurch beliebige Betriebssystembefehle auf dem Host ausführen, auf dem Splunk Enterprise betrieben wird.

Splunk erklärt, die Schwachstelle sei möglich gewesen, weil der Konfigurationshelfer btool ein unsicheres Muster zur Shell-Ausführung verwendet habe. Dabei seien Betriebssystem-Befehlszeichenfolgen aus dynamischen Parametern zusammengesetzt worden, ohne die Interpretation durch die Shell zu unterbinden. Behoben wurde der Fehler in Splunk AI Toolkit Version 5.7.4. Falls ein Upgrade nicht möglich ist, empfiehlt Splunk als Gegenmaßnahme die Deinstallation des AI Toolkit.

Mit demselben Update hat Splunk außerdem CVE-2026-20265 korrigiert. Dabei handelt es sich um eine Schwachstelle mittlerer Schwere zur Offenlegung von Informationen, die laut Hersteller durch eine unsichere Standard-Allowlist für Domains verursacht wurde. Ein Angreifer mit Administrator- oder Power-Rolle konnte das AI Toolkit dazu bringen, ausgehende HTTP-Anfragen an vom Angreifer kontrollierte Server zu senden, was zu Datenabfluss führen konnte.

Atlassian veröffentlichte seinerseits 100 Sicherheitsbulletins. Sie betreffen Dutzende Schwachstellen in Bamboo Data Center and Server, Bitbucket Data Center and Server, Confluence Data Center and Server, Crowd Data Center and Server, Fisheye/Crucible, Jira Data Center and Server sowie Jira Service Management Data Center and Server.

Alle mit den neuen Sicherheitsupdates behobenen Schwachstellen scheinen laut dem Bericht Fremdabhängigkeiten zu betreffen, die in Atlassian-Produkten verwendet werden. Dazu zählen kritische Schwachstellen in Axios mit den Kennungen CVE-2026-42043, CVE-2026-40175 und CVE-2026-42264.

Ebenfalls genannt werden kritische Probleme in Apache Tomcat mit CVE-2026-41293, CVE-2026-43512, CVE-2026-41293, CVE-2026-43515 und CVE-2026-43515 sowie in Netty mit CVE-2026-42584. Nutzer sollen so schnell wie möglich auf eine gepatchte Version der betroffenen Atlassian-Produkte aktualisieren.

Atlassian und Splunk schließen kritische Schwachstellen

Ähnliche Artikel

Neueste Artikel