Atlassian выпустила исправления для двух критических уязвимостей, затрагивающих Crowd и Bitbucket

Сб 19 Ноябрь 2022 16:16

Atlassian выпустила исправления для двух критических уязвимостей, затрагивающих Bitbucket Server, Data Center и Crowd. Бреши в защите отслеживаются под идентификаторами CVE-2022-43781 и CVE-2022-43782 и имеют оценку 9 из 10 шкале CVSS:

CVE-2022-4378 позволяет удаленному злоумышленнику выполнить произвольный код при помощи инъекции команд через переменные окружения в двух случаях:

Если на сервере включена публичная регистрация

Если атакующий аутентифицирован и может менять имя пользователя (т.е. имеет права ADMIN или SYS_ADMIN)

Уязвимость затрагивает версии Bitbucket Server с 7.0 по 7.21 и с 8.0 по 8.4. В качестве временного обходного пути Atlassian предлагает пользователям отключить настройку "Allow public signup".

CVE-2022-43782 связана с неправильной конфигурацией в Crowd Server и Data Center. Уязвимость позволяет хакеру вызывать привилегированные конечные точки API, но только в тех сценариях, когда злоумышленник подключается с IP-адреса, добавленного в конфигурацию удаленных адресов.

Стоит отметить, что вторая уязвимость была выявлена в ходе внутренней проверки безопасности Atlassian. Эта брешь в защите затрагивает только пользователей более новых версий – у кого установлен Crowd 3.0.0 и выше.

Статья уведена с www.securitylab.ru.

NetLan.ru жив уже 16 лет 255 дней 12 часов 53 минуты 2 секунды
СМК NetLan (Nettlesome Landloper) — некоммерческий интернет-ресурс.
Весь данный интернет-ресурс и всё созданное или размещённое на нём используется в личных целях.