Eng kritesch Schwachstelle (CVE-2022-43781) gouf am Bitbucket Server identifizéiert, e Package fir eng Web-Interface z'installéieren fir mat Git Repositories ze schaffen, wat e Remote-Ugräifer erlaabt Code Ausféierung um Server z'erreechen. D'Schwachheet kann vun engem net authentifizéierte Benotzer exploitéiert ginn, wann d'Selbstregistrierung um Server erlaabt ass (d'Astellung "Allow Public Signup" ass aktivéiert). Operatioun ass och méiglech vun engem authentifizéierte Benotzer deen d'Rechter huet fir de Benotzernumm z'änneren (dh ADMIN oder SYS_ADMIN Rechter). Keng Detailer goufen nach geliwwert, alles wat bekannt ass ass datt de Problem duerch d'Méiglechkeet vu Kommandosubstitutioun duerch Ëmfeldvariablen verursaacht gëtt.
D'Thema erschéngt an de 7.x an 8.x Filialen, a gëtt an de Bitbucket Server a Bitbucket Data Center verëffentlecht 8.5.0, 8.4.2, 7.17.12, 7.21.6, 8.0.5, 8.1.5, 8.3.3, 8.2.4, 7.6.19. D'Vulnerabilitéit erschéngt net am Bitbucket.org Cloud Service, awer beaflosst nëmmen Produkter déi op hire Raimlechkeeten installéiert sinn. De Problem erschéngt och net op Bitbucket Server an Data Center Server, déi d'PostgreSQL DBMS benotzen fir Daten ze späicheren.
Source: opennet.ru