Er is een kritieke kwetsbaarheid (CVE-2022-36804) geïdentificeerd in Bitbucket Server, een pakket voor het implementeren van een webinterface voor het werken met git-repository's, waarmee een externe aanvaller met leestoegang tot privé- of openbare repository's willekeurige code op de server kan uitvoeren door een voltooid HTTP-verzoek te verzenden. Het probleem is aanwezig sinds versie 6.10.17 en is opgelost in Bitbucket Server en Bitbucket Data Center releases 7.6.17, 7.17.10, 7.21.4, 8.0.3, 8.2.2 en 8.3.1. De kwetsbaarheid komt niet voor in de bitbucket.org-clouddienst, maar treft alleen producten die op hun locatie zijn geïnstalleerd.
De kwetsbaarheid werd geïdentificeerd door een beveiligingsonderzoeker als onderdeel van het Bugcrowd Bug Bounty-initiatief, dat beloningen uitdeelt voor het identificeren van voorheen onbekende kwetsbaarheden. De beloning bedroeg 6 dollar. Er wordt beloofd dat details over de aanvalsmethode en het exploit-prototype 30 dagen na de publicatie van de patch bekend zullen worden gemaakt. Als maatregel om het risico op een aanval op uw systemen te verminderen voordat u de patch toepast, wordt aanbevolen om de publieke toegang tot repositories te beperken met behulp van de instelling “feature.public.access=false”.
Bron: opennet.ru