【Linktech 資安神隊友】2025 年 3 月安全公告，Atlassian 持續監控，提升 Data Center 產品安全水平

╴Atlassian 2025 年 3月安全公告摘要

在 2025 年 3 月 18 日的安全公告中，Atlassian 披露了13個高等漏洞，本安全公告中報告的漏洞包括13個已修復的高嚴重性漏洞 在上個月發佈的新產品的新版本中。這些漏洞是通過Atlassian的 Bug Bounty 計劃，滲透測試過程和第三方掃描找尋出來。

要修復影響您產品的所有漏洞，Atlassian 建議您將產品修補到最新版本或以下每個產品的要求修復版本之一。

列出的每個產品的固定版本 截至 2025 年 3 月 18 日（發佈日期）

╴關鍵漏洞描述

產品	受影響的版本	修復版本
Bamboo Data Center and Server	10.2.0 to 10.2.1 (LTS) 10.1.0 to 10.1.1 10.0.0 to 10.0.3 9.6.0 to 9.6.10 (LTS) 9.5.0 to 9.5.4	10.2.2 (LTS) recommended Data Center Only 9.6.11 (LTS) Data Center Only
Bitbucket Data Center and Server	9.5.0 9.4.0 to 9.4.2 (LTS) 8.19.0 to 8.19.14 (LTS) 8.18.0 to 8.18.1 8.17.0 to 8.17.2 8.16.0 to 8.16.4 8.15.0 to 8.15.5 8.14.0 to 8.14.6 8.13.0 to 8.13.6 8.12.0 to 8.12.6 8.11.0 to 8.11.6 8.10.0 to 8.10.6 8.9.0 to 8.9.24 (LTS) 8.8.3 to 8.8.7 8.7.3 to 8.7.5 8.6.4 8.5.4	9.5.1 to 9.5.2 Data Center Only 9.4.3 to 9.4.4 (LTS) recommended Data Center Only 8.19.15 to 8.19.16 (LTS) Data Center Only 8.9.25 to 8.9.26 (LTS)
Crowd Data Center and Server	6.2.0 to 6.2.2	6.2.3 recommended Data Center Only
Jira Data Center and Server	10.4.0 to 10.4.1 10.3.0 to 10.3.3 (LTS) 10.2.0 to 10.2.1 10.1.1 to 10.1.2 10.0.0 to 10.0.1 9.17.0 to 9.17.5 9.16.0 to 9.16.1 9.15.2 9.14.0 to 9.14.1 9.13.0 to 9.13.1 9.12.0 to 9.12.18 (LTS) 9.11.0 to 9.11.3 9.10.0 to 9.10.2 9.9.0 to 9.9.2 9.8.0 to 9.8.2 9.7.0 to 9.7.2	10.5.0 Data Center Only 10.3.4 (LTS) recommended Data Center Only 9.12.19 (LTS)
Jira Service Management Data Center and Server	10.4.0 to 10.4.1 10.3.0 to 10.3.3 (LTS) 10.2.0 to 10.2.1 10.1.1 to 10.1.2 10.0.0 to 10.0.1 5.17.0 to 5.17.5 5.16.0 to 5.16.1 5.14.0 to 5.14.1 5.13.0 to 5.13.1 5.12.0 to 5.12.18 (LTS) 5.11.0 to 5.11.3 5.10.0 to 5.10.2 5.9.0 to 5.9.2 5.8.0 to 5.8.2 5.7.0 to 5.7.2	10.5.0 Data Center Only 10.3.4 (LTS) recommended Data Center Only 5.12.19 (LTS)

╴Atlassian Server & Data Center 安全漏洞摘要

近期發現多個 Atlassian 產品存在安全漏洞，影響 Bamboo、Bitbucket、Crowd 、Jira 和 Jira Service Management 的 Data Center & Server 版本。漏洞類型包括 拒絕服務（DoS）、遠程代碼執行（RCE）、身份驗證和會話管理破損（BASM）、SQL 注入（SQLi） 及 路徑遍歷（Path Traversal）等，部分漏洞 CVSS 評分高達 8.8（高風險）。

• Bamboo

  • CVE-2025-24970：io.netty:netty-handler 依賴項中的 DoS 漏洞。 （CVSS 7.5 高）

• Bitbucket

  • CVE-2024-4367：Bitbucket Data Center 第三方依賴項漏洞。 （CVSS 8.8 高）

  • CVE-2024-45296：Bitbucket Data Center 第三方依賴項漏洞。 （CVSS 7.5 高）

  • CVE-2024-29857：org.bouncycastle:bcprov-jdk18on 依賴項中的 DoS 漏洞。 （CVSS 7.5 高）

  • CVE-2022-31197：org.postgresql:postgresql 依賴項中的 SQLi 漏洞。 （CVSS 7.1 高）

  • CVE-2022-21724：org.postgresql:postgresql 依賴項中的漏洞。 （CVSS 7.0 高）

• Crowd

  • CVE-2023-52428：com.nimbusds:nimbus-jose-jwt 依賴項中的 DoS 漏洞。 （CVSS 7.5 高）

  • CVE-2025-24970：io.netty:netty-handler 依賴項中的 DoS 漏洞。 （CVSS 7.5 高）

  • CVE-2023-44487：io.netty:netty-codec-http2 依賴項中的 DoS 漏洞。 （CVSS 7.5 高）

• Jira

  • CVE-2024-38819：org.springframework:spring-webmvc 依賴項中的 Path Traversal 漏洞。（CVSS 7.5 高）

  • CVE-2024-47072：com.thoughtworks.xstream:xstream 依賴項中的 DoS 漏洞。（CVSS 7.5 高）

• Jira Service Management

  • CVE-2024-38819：org.springframework:spring-webmvc 依賴項中的 Path Traversal 漏洞。（CVSS 7.5 高）

  • CVE-2024-47072：com.thoughtworks.xstream:xstream 依賴項中的 DoS 漏洞。（CVSS 7.5 高）

╴Atlassian 的應對措施

雖然這些漏洞被評估為對 Atlassian 產品風險較低，但仍建議用戶參照上方資訊，保持其產品的最新版本，以確保獲得最新的安全修復和改進。

╴Atlassian Cloud 影響狀況

使用 Atlassian Cloud 產品的用戶無需擔心此漏洞影響。Atlassian 的 SaaS 服務具備高度的安全防護機制，並持續進行安全強化，修復漏洞、並持續強化防護機制，以確保您的資料安全。

╴總結

Linktech 深耕 Atlassian 系列解決方案，同時涵蓋資訊安全檢驗的部分，若有發現Atlassian系列產品環境存在潛在危機的客戶，歡迎隨時與我們聯繫，同時在軟體升級的部分，我們也會再進行升級前進行全系統的盤點與掃描，確保升級後功能可以正常使用，且資料不會流失。

Atlassian 的 2025 年 3 月安全公告強調了公司對透明度和用戶安全的承諾。即使某些漏洞對其產品影響較小，Atlassian 仍選擇披露，並鼓勵用戶保持軟體更新，以確保最佳的安全性和性能，再次提醒如貴司當前環境為漏洞影響之範圍內，最終應該都請盡速做主程式的升級，如有需要任何協助確認或者升級工程，請盡速與Linktech團隊做聯繫。