È stata identificata una vulnerabilità critica (CVE-2022-36804) in Bitbucket Server, un pacchetto per la distribuzione di un'interfaccia web per lavorare con repository git, che consente a un utente malintenzionato remoto con accesso in lettura a repository privati o pubblici di eseguire codice arbitrario sul server inviando una richiesta HTTP completata. Il problema è presente dalla versione 6.10.17 ed è stato risolto nelle versioni Bitbucket Server e Bitbucket Data Center 7.6.17, 7.17.10, 7.21.4, 8.0.3, 8.2.2 e 8.3.1. La vulnerabilità non appare nel servizio cloud bitbucket.org, ma colpisce solo i prodotti installati in sede.
La vulnerabilità è stata identificata da un ricercatore di sicurezza nell'ambito dell'iniziativa Bugcrowd Bug Bounty, che prevede ricompense per l'identificazione di vulnerabilità precedentemente sconosciute. La ricompensa ammontava a 6mila dollari. Si prevede che i dettagli sul metodo di attacco e sul prototipo dell'exploit verranno rivelati 30 giorni dopo la pubblicazione della patch. Come misura per ridurre il rischio di un attacco ai sistemi prima di applicare la patch, si consiglia di limitare l'accesso pubblico ai repository utilizzando l'impostazione "feature.public.access=false".
Fonte: opennet.ru