Une vulnérabilité critique (CVE-2022-36804) a été identifiée dans Bitbucket Server, un package permettant de déployer une interface Web permettant de travailler avec des référentiels git, qui permet à un attaquant distant ayant un accès en lecture à des référentiels privés ou publics d'exécuter du code arbitraire sur le serveur. en envoyant une requête HTTP complétée. Le problème est présent depuis la version 6.10.17 et a été résolu dans les versions 7.6.17, 7.17.10, 7.21.4, 8.0.3, 8.2.2 et 8.3.1 de Bitbucket Server et Bitbucket Data Center. La vulnérabilité n'apparaît pas dans le service cloud bitbucket.org, mais affecte uniquement les produits installés dans leurs locaux.
La vulnérabilité a été identifiée par un chercheur en sécurité dans le cadre de l'initiative Bugcrowd Bug Bounty, qui offre des récompenses pour l'identification de vulnérabilités jusqu'alors inconnues. La récompense s'élevait à 6 mille dollars. Les détails sur la méthode d'attaque et le prototype de l'exploit devraient être révélés 30 jours après la publication du correctif. Afin de réduire le risque d'attaque sur vos systèmes avant d'appliquer le correctif, il est recommandé de limiter l'accès public aux référentiels à l'aide du paramètre « feature.public.access=false ».
Source: opennet.ru