Уязвимость затрагивает все версии Bitbucket Server и Datacenter, выпущенные после 6.10.17.
https://www.securitylab.ru/upload/ib...xoxpf2bjc4.png
Уязвимость, отслеживаемая под идентификатором CVE-2022-36804 (имеет оценку 9.9 из 10 по шкале CVSS), позволят хакеру произвести инъекцию команд в нескольких конечных точках. Брешь в защите может быть использована с помощью специально созданных HTTP-запросов.
Кроме того, в сообщении Atlassian говорится, что для успешной эксплуатации CVE-2022-36804 злоумышленник должен иметь доступ к публичному репозиторию Bitbucket или права на чтение частного репозитория
По словам ИБ-специалиста под никнеймом @TheGrandPew, уязвимость затрагивает все версии Bitbucket Server и Datacenter, выпущенные после 6.10.17, включая 7.0.0 и более новые:<ul><li>Bitbucket Server и Datacenter 7.6;</li>
</ul><ul><li>Bitbucket Server и Datacenter 7.17;</li>
</ul><ul><li>Bitbucket Server и Datacenter 7.21;</li>
</ul><ul><li>Bitbucket Server и Datacenter 8.0;</li>
</ul><ul><li>Bitbucket Server и Datacenter 8.1;</li>
</ul><ul><li>Bitbucket Server и Datacenter 8.2;</li>
</ul><ul><li>Bitbucket Server и Datacenter 8.3.</li>
</ul>Для уязвимости уже доступно исправление, но в случаях, где обновления не могут быть применены немеденно, Atlassian рекомендует отключить публичные репозитории с помощью "feature.public.access=false", чтобы предотвратить использование уязвимости неавторизованными злоумышленниками.
Компания предупреждает, что такой обходной путь не полностью устраняет уязвимость, так как злоумышленник с учетной записью пользователя все еще может воспользоваться CVE-2022-36804.
Пользователям уязвимых версий рекомендуется как можно скорее обновить ПО до последней версии, чтобы снизить потенциальные риски.