Në Bitbucket Server, paketën për shpërndarjen e ndërfaqes së web-it për punën me git-repozitat, është identifikuar një dobësi kritike (CVE-2022-43781), e cila lejon një sulmues të largët të arrijë ekzekutimin e kodit në server. Kjo dobësi mund të shfrytëzohet nga një përdorues që nuk është autentikuar, nëse regjistrimi i vetë-përfshirë është i lejuar në server (në cilësimin "Lejo regjistrimin publik"). Shfrytëzimi gjithashtu është i mundur nga një përdorues i autentikuar që ka të drejta për të ndryshuar emrin e përdoruesit (dmth. ka autorizim ADMIN ose SYS_ADMIN). Detajet për momentin nuk janë ofruar, e vetmja që është e njohur është se problemi është shkaktuar nga mundësia e nënshtrimit të komandave përmes variablave të mjedisit.
Problemi shfaqet në deget 7.x dhe 8.x, dhe është eliminuar në versionet e Bitbucket Server dhe Bitbucket Data Center 8.5.0, 8.4.2, 7.17.12, 7.21.6, 8.0.5, 8.1.5, 8.3.3, 8.2.4, 7.6.19. Dobësia nuk shfaqet në shërbimin cloud bitbucket.org, dhe prek vetëm produktet të cilat instalohet në kapacitetet e veta. Problemi gjithashtu nuk shfaqet në sistemet Bitbucket Server dhe Data Center, ku për ruajtjen e të dhënave përdoret DBMS PostgreSQL.
Burimi: opennet.ru
