बिटबकेट सर्वर में भेद्यता सर्वर पर कोड निष्पादन की ओर ले जाती है

बिटबकेट सर्वर में एक गंभीर भेद्यता (CVE-2022-43781) पाई गई है, जो git रिपॉजिटरी के साथ काम करने के लिए एक वेब इंटरफेस तैनात करने वाला एक पैकेज है, जो एक दूरस्थ हमलावर को सर्वर पर कोड निष्पादन प्राप्त करने की अनुमति देता है। यदि सर्वर पर स्व-पंजीकरण की अनुमति है ('सार्वजनिक पंजीकरण की अनुमति दें' सेटिंग सक्षम है) तो इस भेद्यता का फायदा अप्रमाणित उपयोगकर्ता द्वारा उठाया जा सकता है। शोषण किसी प्रमाणित उपयोगकर्ता द्वारा भी संभव है, जिसके पास उपयोगकर्ता नाम बदलने का अधिकार है (अर्थात् उसके पास ADMIN या SYS_ADMIN अनुमति है)। विवरण अभी तक उपलब्ध नहीं कराया गया है, केवल यह ज्ञात है कि समस्या पर्यावरण चर के माध्यम से आदेशों को प्रतिस्थापित करने की संभावना के कारण होती है।

यह समस्या 7.x और 8.x शाखाओं को प्रभावित करती है और Bitbucket Server और Bitbucket Data Center के रिलीज़ 8.5.0, 8.4.2, 7.17.12, 7.21.6, 8.0.5, 8.1.5, 8.3.3, 8.2.4, 7.6.19 में ठीक कर दी गई है। यह भेद्यता bitbucket.org क्लाउड सेवा को प्रभावित नहीं करती है, बल्कि केवल ऑन-प्रिमाइसेस इंस्टॉलेशन के लिए उत्पादों को प्रभावित करती है। यह समस्या अन्य उत्पादों को भी प्रभावित नहीं करती है। सर्वर बिटबकेट सर्वर और डेटा सेंटर, जो डेटा स्टोरेज के लिए पोस्टग्रेएसक्यूएल डीबीएमएस का उपयोग करते हैं।

स्रोत: opennet.ru