一、漏洞详情

Atlassian Crowd旨在实现集中身份管理，可集成Jira、Confluence 和 Bitbucket等Atlassian产品并提供集中式单点登录和用户管理。

Atlassian发布安全公告，修复了Atlassian Crowd中的一个安全配置错误漏洞（CVE-2022-43782）。Atlassian Crowd 3.0.0及之后版本中存在安全配置错误漏洞，可能导致在{{usermanagement}} 路径下调用Crowd的REST API中的特权端点来认证为Crowd应用程序，但该漏洞只能被Remote Address配置中Crowd应用程序白名单下指定的IP所利用，在3.0.0之后的版本中默认为{{none}}。

建议受影响用户做好资产自查以及预防工作，以免遭受黑客攻击。

二、影响范围

Atlassian Crowd 3.0.0 - 3.7.2

Atlassian Crowd 4.0.0 - 4.4.3

Atlassian Crowd 5.0.0 - 5.0.2

注：crowd应用的Remote Address配置中未增加IP地址则不受影响（3.0.0之后的版本默认没有）。

三、修复建议

目前该漏洞已经修复，受影响用户可以升级到以下版本：

Atlassian Crowd 5.0版本 >= 5.0.3

Atlassian Crowd 4.0版本 >= 4.4.4

Atlassian Crowd 3.0版本 ：该版本已停止维护，可升级到Crowd 4.4.4 或 5.0.3。

下载链接：https://www.atlassian.com/software/crowd