बिटबकेट सर्वर में भेद्यता जो सर्वर पर कोड निष्पादन की अनुमति देती है

बिटबकेट सर्वर में एक गंभीर भेद्यता (सीवीई-2022-36804) की पहचान की गई है, जो गिट रिपॉजिटरी के साथ काम करने के लिए एक वेब इंटरफ़ेस को तैनात करने के लिए एक पैकेज है, जो एक दूरस्थ हमलावर को निजी या सार्वजनिक रिपॉजिटरी तक पढ़ने की पहुंच के साथ सर्वर पर मनमाना कोड निष्पादित करने की अनुमति देता है। पूर्ण HTTP अनुरोध भेजकर। समस्या संस्करण 6.10.17 से मौजूद है और बिटबकेट सर्वर और बिटबकेट डेटा सेंटर रिलीज़ 7.6.17, 7.17.10, 7.21.4, 8.0.3, 8.2.2 और 8.3.1 में हल किया गया है। भेद्यता bitbucket.org क्लाउड सेवा में प्रकट नहीं होती है, बल्कि केवल उन उत्पादों को प्रभावित करती है जो उनके परिसर में स्थापित हैं।

बगक्राउड बग बाउंटी पहल के हिस्से के रूप में एक सुरक्षा शोधकर्ता द्वारा भेद्यता की पहचान की गई थी, जो पहले से अज्ञात कमजोरियों की पहचान करने के लिए पुरस्कार प्रदान करता है। इनाम की राशि 6 ​​हजार डॉलर थी। पैच प्रकाशित होने के 30 दिन बाद हमले के तरीके और शोषण प्रोटोटाइप के बारे में विवरण सामने आने का वादा किया गया है। पैच लागू करने से पहले आपके सिस्टम पर हमले के जोखिम को कम करने के उपाय के रूप में, "feature.public.access=false" सेटिंग का उपयोग करके रिपॉजिटरी तक सार्वजनिक पहुंच को सीमित करने की अनुशंसा की जाती है।

स्रोत: opennet.ru