Уязвимость в Bitbucket Server, приводящая к выполнению кода на сервере

Ответить на тему

Автор

Сообщение

news_bot ^®

Стаж: 6 лет 9 месяцев
Сообщений: 27286

news_bot ^® написал(а)
19-Ноя-2022 15:49

Цитировать

В Bitbucket Server, пакете для развёртывания web-интерфейса для работы с git-репозиториями, выявлена критическая уязвимость (CVE-2022-43781), позволяющая удалённому атакующему добиться выполнения кода на сервере. Уязвимость может быть эксплуатирована неутентифицированным пользователем, если на сервере разрешена самостоятельная регистрация (включена настройка "Allow public signup"). Эксплуатация также возможна аутентифицированным пользователем у которого есть права на изменение имени пользователя (т.е. есть полномочия ADMIN или SYS_ADMIN). Детали пока не приводится, известно только то, что проблема вызвана возможностью подстановки команд через переменные окружения.
Проблема проявляется в ветках 7.x и 8.x, и устранена в выпусках Bitbucket Server и Bitbucket Data Center 8.5.0, 8.4.2, 7.17.12, 7.21.6, 8.0.5, 8.1.5, 8.3.3, 8.2.4, 7.6.19. Уязвимость не проявляется в облачном сервисе bitbucket.org, а затрагивает только продукты для установки на своих мощностях. Проблема также не проявляется на серверах Bitbucket Server и Data Center, в которых для хранения данных используется СУБД PostgreSQL.
===========
Источник:
OpenNet.RU
===========

Уязвимость в Bitbucket Server, приводящая к выполнению кода на сервере

Похожие новости