Security Bulletin - Červenec 2025

Bezpečnostní upozornění

16. 7. 2025

Společnost Atlassian informuje

o 10 závažných (high-severity) zranitelnostech v externích knihovnách používaných produkty Atlassian.

Zdroj: https://confluence.atlassian.com/security/security-bulletin-july-15-2025-1590658642.html

Odkazy do National Vulnerability Database NIST s detailem jednotlivých zranitelností jsou nalinkovány do konkrétních CVE

Produkt	Affected Versions	Fixed Version	Popis závažnosti a CVE	Doporučená reakce (dny) & Důvod
Bamboo DC & Server	9.3.0–11.0.2 (různé verze, včetně LTS)	9.6.15 (LTS), 10.2.6 (LTS), 11.0.3	- RCE: CVE-2025-48734 (CVSS 8.8) - Další DoS a dependency: CVE-2025-49146 (8.2), CVE-2025-48976 (7.5), CVE-2025-27820 (7.5), CVE-2024-13009 (7.2)	1–3 dny – RCE umožňují přímé napadení serveru nebo odposlech provozu, doporučuje se okamžité nasazení patchů. DoS zranitelnosti jsou vážné, ale mohou být řešeny v rámci běžného patchovacího okna (3–5 dní).
Bitbucket DC & Server	8.19.0–9.6.3	8.19.20, 9.4.8 (LTS), 9.6.4	- Improper Auth. (Tomcat): CVE-2025-46701 (7.3)	2–5 dnů – Riziko přístupu bez autorizace, doporučena rychlá reakce.
Confluence DC & Server	9.2.4–9.5.1	9.2.6 (LTS), 9.5.2	- MITM (httpclient5): CVE-2025-27820 (7.5),	1–3 dny – Útok typu man-in-the-middle ohrožuje důvěrnost komunikace.
Crowd DC & Server	5.0.7–5.2.10	5.2.11	- RCE (akka actor): CVE-2017-1000034 (8.1)	1–3 dny – Starší, ale kritická RCE zranitelnost. Rychlý patch nutný.
Jira DC & Server	9.4.0–10.7.1 (včetně LTS)	10.7.2, 10.3.8 (LTS), 9.12.25 (LTS)	- XSS (DOMPurify): CVE-2024-45801 (8.3) CVE-2025-27820 (7.5), - DoS: CVE-2025-48988 (7.5) - BASM: CVE-2025-49125 (7.5), CVE-2025-22228 (7.4) - Improper Auth. (Tomcat): CVE-2025-46701 (7.3)	3–5 dnů – Kombinace závažných, ale ne kritických zranitelností. Reakce v patch cyklu.
Jira Service Management	5.4.0–10.7.1 (včetně LTS)	5.12.25 (LTS), 10.3.8 (LTS), 10.7.2	- XSS (DOMPurify): CVE-2024-45801 (8.3) CVE-2025-27820 (7.5), - DoS: CVE-2025-48988 (7.5) - BASM: CVE-2025-49125 (7.5), CVE-2025-22228 (7.4) - Improper Auth. (Tomcat): CVE-2025-46701 (7.3)	3–5 dnů – Kombinace závažných, ale ne kritických zranitelností. Reakce v patch cyklu.

Pokud používáte některý z produktů Atlassian uvedený v aktuálním bezpečnostním bulletinu a potřebujete pomoc s aktualizací či posouzením dopadu na Vaši instanci, rádi Vám pomůžeme.

Neváhejte nás kontaktovat na e-mailu obchod@onlioaps.com — společně najdeme nejvhodnější řešení.