A Atlassian publicou correções para duas vulnerabilidades críticas que afetam Bitbucket Server, Data Center e Crowd. Essas falhas de segurança estão registradas com os CVEs 2022-43781 e 2022-43782 e têm indicadores de risco respectivamente de 9 e 10 na escala CVSS.
Veja isso
Exploração de vulnerabilidade crítica no Atlassian Bitbucket
Bug de PAN-OS da Palo Alto tem pontuação de 8.6 no CVSS
O CVE-2022-4378 permite que um invasor remoto execute código arbitrário injetando comandos por meio de variáveis de ambiente em dois casos:
- Se o registro público estiver habilitado no servidor
- Se o invasor for autenticado e puder alterar o nome de usuário (ou seja, tiver direitos ADMIN ou SYS_ADMIN)
A vulnerabilidade afeta o Bitbucket Server versões 7.0 a 7.21 e 8.0 a 8.4. Como solução temporária, a Atlassian sugere que os usuários desativem a configuração “Permitir inscrição pública”.
Já o CVE-2022-43782 está relacionado à configuração incorreta so Crowd Server e Data Center. A vulnerabilidade permite que um invasor chame endpoints de API privilegiados, mas apenas em cenários em que o invasor se conecta a partir de um endereço IP adicionado à configuração de endereço remoto. A segunda vulnerabilidade foi identificada durante a revisão de segurança interna da Atlassian. Essa falha de segurança afeta apenas usuários de versões mais recentes – aqueles que possuem o Crowd 3.0.0 e superior instalado.
