ភាពងាយរងគ្រោះនៅក្នុង Bitbucket Server ដែលអនុញ្ញាតឱ្យដំណើរការកូដនៅលើម៉ាស៊ីនមេ

ភាពងាយរងគ្រោះសំខាន់ (CVE-2022-36804) ត្រូវបានកំណត់អត្តសញ្ញាណនៅក្នុង Bitbucket Server ដែលជាកញ្ចប់សម្រាប់ដាក់ពង្រាយចំណុចប្រទាក់បណ្ដាញសម្រាប់ធ្វើការជាមួយឃ្លាំង git ដែលអនុញ្ញាតឱ្យអ្នកវាយប្រហារពីចម្ងាយដែលមានសិទ្ធិអានទៅកាន់ឃ្លាំងឯកជន ឬសាធារណៈដើម្បីប្រតិបត្តិកូដបំពានលើម៉ាស៊ីនមេ។ ដោយផ្ញើសំណើ HTTP ដែលបានបញ្ចប់។ បញ្ហានេះមានតាំងពីកំណែ 6.10.17 ហើយត្រូវបានដោះស្រាយនៅក្នុង Bitbucket Server និង Bitbucket Data Center ចេញផ្សាយ 7.6.17, 7.17.10, 7.21.4, 8.0.3, 8.2.2, និង 8.3.1។ ភាពងាយរងគ្រោះមិនបង្ហាញនៅក្នុងសេវាកម្មពពក bitbucket.org ទេ ប៉ុន្តែប៉ះពាល់តែផលិតផលដែលត្រូវបានដំឡើងនៅក្នុងបរិវេណរបស់ពួកគេ។

ភាពងាយរងគ្រោះនេះត្រូវបានកំណត់អត្តសញ្ញាណដោយអ្នកស្រាវជ្រាវសន្តិសុខដែលជាផ្នែកមួយនៃគំនិតផ្តួចផ្តើម Bugcrowd Bug Bounty ដែលផ្តល់រង្វាន់សម្រាប់កំណត់អត្តសញ្ញាណភាពងាយរងគ្រោះដែលមិនស្គាល់ពីមុន។ រង្វាន់​មាន​ចំនួន​៦​ពាន់​ដុល្លារ។ ព័ត៌មានលម្អិតអំពីវិធីសាស្ត្រវាយប្រហារ និងគំរូការកេងប្រវ័ញ្ចត្រូវបានសន្យាថានឹងត្រូវបានបង្ហាញឱ្យឃើញក្នុងរយៈពេល 6 ថ្ងៃបន្ទាប់ពីបំណះត្រូវបានបោះពុម្ពផ្សាយ។ ជាវិធានការកាត់បន្ថយហានិភ័យនៃការវាយប្រហារលើប្រព័ន្ធរបស់អ្នក មុនពេលអនុវត្តបំណះ វាត្រូវបានណែនាំអោយដាក់កម្រិតការចូលប្រើជាសាធារណៈទៅកាន់ឃ្លាំងដោយប្រើការកំណត់ "feature.public.access=false"។

ប្រភព: opennet.ru