به گزارش کارگروه امنیت سایبربان؛ شرکت Atlassian (آتلاسیان) نسخه اصلاحیه ای را برای یک نقص امنیتی جدی در سرور و پایگاه داده Bitbucket (بیت باکِت) منتشر کرده است. این نقص امنیتی می تواند منجر به اجرای کد مخرب بر روی نصب های آسیب پذیر شود.
این نقص امنیتی (CVE-2022-36804) با درجه شدت 9.9 از 10 به عنوان یک آسیب پذیری تزریق دستور در چندین نقطه انتهایی شناخته می شود که می تواند از طریق درخواست های HTTP مخصوص، مورد بهره برداری قرار بگیرد.
مهاجم می تواند با دسترسی به مرکز ذخیره سازی عمومی بیت باکت یا مجوز خواندن موارد خصوصی، کد دلخواه خود را از طریق ارسال یک درخواست HTTP مخرب به اجرا دربیاورد.
این آسیب پذیری که توسط محققی امنیتی به نام @TheGrandPew شناسایی و گزارش شده، تمامی نسخه های 6.10.17 به بعد سرور و پایگاه داده بیت باکت را تحت الشعاع قرار می دهد:
- Bitbucket 7.6
- Bitbucket 7.17
- Bitbucket 7.21
- Bitbucket 8.0
- Bitbucket 8.1
- Bitbucket 8.2
- Bitbucket 8.3
این انتشار نسخه اصلاحیه از سوی آتلاسیان را نمی توان اصلاح کامل این آسیب پذیری دانست چرا که مهاجمی با دسترسی قبلی به حساب کاربری همچنان می تواند آسیب پذیری را مورد بهره برداری قرار دهد.
Bitbucket مدیریت ریپازیتوری یا مخزن Git است که مخصوص تیمهای حرفهای توسعه یافته است. هاب مرکزی برای رسیدگی به همه مخازن git با source code یا کد منبع همکاری میکند و همه را از طریق چرخه توسعه نرم افزار هدایت می کند. این بخشی از خانواده Atlassian است که دارای ابزارهایی مانند Confluence ، Jira و دیگر ابزارهاست تا از تیمهای فنی برای کشف کل پتانسیل پشتیبانی کند.
