Đã phát hiện lỗ hổng nghiêm trọng trong máy chủ và trung tâm dữ liệu Atlassian Bitbucket

Máy chủ Bitbucket Atlassian

Atlassian đã tung ra các bản sửa lỗi cho một bảo mật quan trọng trong Máy chủ và Bitbucket có thể dẫn đến việc thực thi mã độc trên các bản cài đặt dễ bị tấn công.

Theo dõi là CVE-2022-36804 (Điểm CVSS: 9,9), vấn đề được mô tả là một lỗ hổng chèn lệnh trong nhiều điểm cuối có thể bị khai thác thông qua các yêu cầu HTTP được chế tạo đặc biệt.

Atlassian cho biết: “Kẻ tấn công có quyền truy cập vào kho lưu trữ Bitbucket công khai hoặc có quyền đọc đối với một kho riêng tư có thể thực thi mã tùy ý bằng cách gửi một yêu cầu HTTP độc hại.

Thiếu sót được phát hiện và báo cáo bởi nhà nghiên cứu bảo mật @TheGrandPew ảnh hưởng đến tất cả các phiên bản của Bitbucket Server và Datacenter được phát hành sau 6.10.17, bao gồm 7.0.0 và mới hơn –

Máy chủ Bitbucket và Trung tâm dữ liệu 7.6 Máy chủ Bitbucket và Trung tâm dữ liệu 7.17 Máy chủ Bitbucket và Trung tâm dữ liệu 7.21 Máy chủ Bitbucket và Trung tâm dữ liệu 8.0 Máy chủ Bitbucket và Trung tâm dữ liệu 8.1 Máy chủ Bitbucket và Trung tâm dữ liệu 8.2 và Máy chủ Bitbucket và Trung tâm dữ liệu 8.3

Như một giải pháp tạm thời trong các trường hợp không thể áp dụng các bản vá ngay lập tức, Atlassian khuyên bạn nên tắt các kho lưu trữ công khai bằng cách sử dụng “feature.public.access = false” để ngăn người dùng trái phép khai thác lỗ hổng.

Xem tiếp:   Băng đảng TrickBot có khả năng thay đổi hoạt động để chuyển sang phần mềm độc hại mới

“Đây không thể được coi là một biện pháp giảm thiểu hoàn toàn vì kẻ tấn công có tài khoản người dùng vẫn có thể thành công”, nó cảnh báo, có nghĩa là nó có thể bị lợi dụng bởi các tác nhân đe dọa, những người đã sở hữu thông tin xác thực hợp lệ có được thông qua các phương tiện khác.

Người dùng của các phiên bản phần mềm bị ảnh hưởng nên nâng cấp phiên bản của họ lên phiên bản mới nhất càng sớm càng tốt để giảm thiểu các mối đe dọa tiềm ẩn.

.

Related Posts

Check Also

Tin tặc chủ động khai thác lỗ hổng mới của tường lửa Sophos RCE

Công ty phần mềm bảo mật Sophos đã cảnh báo về các cuộc tấn công …