ช่องโหว่ร้ายแรง (CVE-2022-36804) ได้รับการระบุใน Bitbucket Server ซึ่งเป็นแพ็คเกจสำหรับการปรับใช้เว็บอินเตอร์เฟสสำหรับการทำงานกับที่เก็บ git ซึ่งช่วยให้ผู้โจมตีระยะไกลที่มีสิทธิ์การเข้าถึงแบบอ่านไปยังที่เก็บข้อมูลส่วนตัวหรือสาธารณะสามารถรันโค้ดที่กำหนดเองบนเซิร์ฟเวอร์ได้ โดยการส่งคำขอ HTTP ที่เสร็จสมบูรณ์ ปัญหานี้เกิดขึ้นตั้งแต่เวอร์ชัน 6.10.17 และได้รับการแก้ไขแล้วใน Bitbucket Server และ Bitbucket Data Center รุ่น 7.6.17, 7.17.10, 7.21.4, 8.0.3, 8.2.2 และ 8.3.1 ช่องโหว่ดังกล่าวไม่ปรากฏในบริการคลาวด์ของ bitbucket.org แต่จะส่งผลต่อผลิตภัณฑ์ที่ติดตั้งในสถานที่ของตนเท่านั้น
ช่องโหว่ดังกล่าวถูกระบุโดยนักวิจัยด้านความปลอดภัย ซึ่งเป็นส่วนหนึ่งของโครงการริเริ่ม Bugcrowd Bug Bounty ซึ่งให้รางวัลสำหรับการระบุช่องโหว่ที่ไม่รู้จักก่อนหน้านี้ รางวัลมีจำนวน 6 พันดอลลาร์ รายละเอียดเกี่ยวกับวิธีการโจมตีและต้นแบบการหาประโยชน์นั้นสัญญาว่าจะเปิดเผย 30 วันหลังจากการเผยแพร่แพตช์ เพื่อเป็นมาตรการในการลดความเสี่ยงของการโจมตีระบบของคุณก่อนที่จะใช้แพตช์ ขอแนะนำให้จำกัดการเข้าถึงที่เก็บข้อมูลแบบสาธารณะโดยใช้การตั้งค่า “feature.public.access=false”
ที่มา: opennet.ru