Atlassian выпустила исправления для двух критических уязвимостей, затрагивающих Crowd и Bitbucket

Atlassian выпустила исправления для двух критических уязвимостей, затрагивающих Crowd и Bitbucket

Обе уязвимости имеют оценку 9 из 10 по шкале CVSS.

Atlassian выпустила исправления для двух критических уязвимостей, затрагивающих Bitbucket Server, Data Center и Crowd. Бреши в защите отслеживаются под идентификаторами CVE-2022-43781 и CVE-2022-43782 и имеют оценку 9 из 10 шкале CVSS:

  • CVE-2022-4378 позволяет удаленному злоумышленнику выполнить произвольный код при помощи инъекции команд через переменные окружения в двух случаях:

  1. Если на сервере включена публичная регистрация

  2. Если атакующий аутентифицирован и может менять имя пользователя (т.е. имеет права ADMIN или SYS_ADMIN)

Уязвимость затрагивает версии Bitbucket Server с 7.0 по 7.21 и с 8.0 по 8.4. В качестве временного обходного пути Atlassian предлагает пользователям отключить настройку "Allow public signup".

  • CVE-2022-43782 связана с неправильной конфигурацией в Crowd Server и Data Center. Уязвимость позволяет хакеру вызывать привилегированные конечные точки API, но только в тех сценариях, когда злоумышленник подключается с IP-адреса, добавленного в конфигурацию удаленных адресов.

Стоит отметить, что вторая уязвимость была выявлена в ходе внутренней проверки безопасности Atlassian. Эта брешь в защите затрагивает только пользователей более новых версий – у кого установлен Crowd 3.0.0 и выше.

Наш канал горячее, чем поверхность Солнца!

5778 К? Пф! У нас градус знаний зашкаливает!

Подпишитесь и воспламените свой разум