В Bitbucket Server, пакете для развёртывания web-интерфейса для работы с git-репозиториями, выявлена критическая уязвимость (CVE-2022-36804), позволяющая удалённому атакующему, имеющему доступ на чтение к приватным или публичным репозиториям, выполнить произвольный код на сервере через отправку специально оформленного HTTP-запроса. Проблема проявляется начиная с версии 6.10.17 и устранена в выпусках Bitbucket Server и Bitbucket Data Center 7.6.17, 7.17.10, 7.21.4, 8.0.3, 8.2.2 и 8.3.1. Уязвимость не проявляется в облачном сервисе bitbucket.org, а затрагивает только продукты для установки на своих мощностях.
Уязвимость выявлена исследователем безопасности в рамках инициативы Bugcrowd Bug Bounty, подразумевающей выплату вознаграждений за выявление ранее не известных уязвимостей. Размер вознаграждения составил 6 тысяч долларов. Подробности о методе атаки и прототип эксплоита обещают раскрыть через 30 дней после публикации исправления. В качестве меры для снижения риска атаки на свои системы до применения исправления рекомендуется ограничить публичный доступ к репозиториям при помощи настройки «feature.public.access=false».
puna: opennet.ru