تم التعرف على ثغرة أمنية خطيرة (CVE-2022-43781) في Bitbucket Server، وهي حزمة لنشر واجهة ويب للعمل مع مستودعات git، والتي تسمح للمهاجم عن بعد بتنفيذ التعليمات البرمجية على الخادم. يمكن استغلال الثغرة الأمنية من قبل مستخدم غير مصادق إذا كان التسجيل الذاتي مسموحًا به على الخادم (تم تمكين الإعداد "السماح بالتسجيل العام"). العملية ممكنة أيضًا بواسطة مستخدم تمت مصادقته ولديه حقوق تغيير اسم المستخدم (أي حقوق ADMIN أو SYS_ADMIN). ولم يتم تقديم تفاصيل بعد، كل ما هو معروف هو أن المشكلة ناتجة عن إمكانية استبدال الأوامر من خلال متغيرات البيئة.
تظهر المشكلة في الفرعين 7.x و8.x، وتم إصلاحها في إصدارات Bitbucket Server وBitbucket Data Center 8.5.0 و8.4.2 و7.17.12 و7.21.6 و8.0.5 و8.1.5، 8.3.3, 8.2.4. لا تظهر الثغرة الأمنية في الخدمة السحابية bitbucket.org، ولكنها تؤثر فقط على المنتجات المثبتة في مقرها. لا تظهر المشكلة أيضًا على خوادم Bitbucket Server وData Center، التي تستخدم PostgreSQL DBMS لتخزين البيانات.
المصدر: opennet.ru