Une vulnérabilité critique (CVE-2022-43781) a été identifiée dans Bitbucket Server, un package permettant de déployer une interface Web permettant de travailler avec des référentiels git, qui permet à un attaquant distant d'exécuter du code sur le serveur. La vulnérabilité peut être exploitée par un utilisateur non authentifié si l'auto-enregistrement est autorisé sur le serveur (le paramètre « Autoriser l'inscription publique » est activé). L'opération est également possible par un utilisateur authentifié qui dispose des droits nécessaires pour modifier le nom d'utilisateur (c'est-à-dire les droits ADMIN ou SYS_ADMIN). Aucun détail n'a encore été fourni, tout ce que l'on sait, c'est que le problème est causé par la possibilité de substitution de commandes via des variables d'environnement.
Le problème apparaît dans les branches 7.x et 8.x et est résolu dans les versions 8.5.0, 8.4.2, 7.17.12, 7.21.6, 8.0.5, 8.1.5 de Bitbucket Server et Bitbucket Data Center. 8.3.3, 8.2.4, 7.6.19. La vulnérabilité n'apparaît pas dans le service cloud bitbucket.org, mais affecte uniquement les produits installés dans leurs locaux. Le problème n'apparaît pas non plus sur les serveurs Bitbucket Server et Data Center, qui utilisent le SGBD PostgreSQL pour stocker les données.
Source: opennet.ru