安全通告
近日，奇安信CERT监测到Atlassian Bitbucket Server and Data Center中存在命令注入漏洞(CVE-2022-43781)，拥有其用户名控制权限的攻击者可利用环境变量进行命令注入，成功利用此漏洞的远程攻击者可在目标机器上执行任意命令。鉴于该漏洞影响范围较大，建议客户尽快做好自查及防护。
|
漏洞名称 |
Atlassian Bitbucket Server and Data Center命令注入漏洞 |
||
|
公开时间 |
2022-11-16 |
更新时间 |
2022-11-21 |
|
CVE编号 |
CVE-2022-43781 |
其他编号 |
CNNVD-202211-2958 |
|
威胁类型 |
代码执行、命令执行 |
技术类型 |
命令注入 |
|
厂商 |
Atlassian |
产品 |
Bitbucket Server Bitbucket Data Center |
|
风险等级 |
|||
|
奇安信CERT风险评级 |
风险等级 |
||
|
高危 |
蓝色（一般事件） |
||
|
现时威胁状态 |
|||
|
POC状态 |
EXP状态 |
在野利用状态 |
技术细节状态 |
|
未发现 |
未发现 |
未发现 |
未发现 |
|
漏洞描述 |
Atlassian Bitbucket Server and Data Center中存在命令注入漏洞，拥有其用户名控制权限的攻击者可利用环境变量进行命令注入，成功利用此漏洞的远程攻击者可在目标机器上执行任意命令。 |
||
|
影响版本 |
7.0 <= Atlassian Bitbucket Server and Data Center <= 7.5 7.6.0 <= Atlassian Bitbucket Server and Data Center <= 7.6.18 7.7 <= Atlassian Bitbucket Server and Data Center <= 7.16 7.17.0 <= Atlassian Bitbucket Server and Data Center <= 7.17.11 7.18 <= Atlassian Bitbucket Server and Data Center <= 7.20 7.21.0 <= Atlassian Bitbucket Server and Data Center <= 7.21.5 如果在bitbucket.properties中设置了mesh.enabled=false，则以下版本也受影响： 8.0.0 <= Atlassian Bitbucket Server and Data Center <= 8.0.4 8.1.0 <= Atlassian Bitbucket Server and Data Center <= 8.1.4 8.2.0 <= Atlassian Bitbucket Server and Data Center <= 8.2.3 8.3.0 <= Atlassian Bitbucket Server and Data Center <= 8.3.2 8.4.0 <= Atlassian Bitbucket Server and Data Center <= 8.4.1 |
||
|
不受影响版本 |
7.6.19 <= Atlassian Bitbucket Server and Data Center 7.6.x 7.17.12 <= Atlassian Bitbucket Server and Data Center 7.17.x 7.21.6 <= Atlassian Bitbucket Server and Data Center 7.21.x 8.0.5 <= Atlassian Bitbucket Server and Data Center 8.0.x 8.1.5 <= Atlassian Bitbucket Server and Data Center 8.1.x 8.2.4 <= Atlassian Bitbucket Server and Data Center 8.2.x 8.3.3 <= Atlassian Bitbucket Server and Data Center 8.3.x 8.4.2 <= Atlassian Bitbucket Server and Data Center 8.4.x 8.5.0 <= Atlassian Bitbucket Server and Data Center 8.5.x |
||
|
其他受影响组件 |
无 |
||
|
漏洞名称 |
Atlassian Bitbucket Server and Data Center命令注入漏洞 |
|||
|
CVE编号 |
CVE-2022-43781 |
其他编号 |
CNNVD-202211-2958 |
|
|
CVSS 3.1评级 |
高危 |
CVSS 3.1分数 |
8.1 |
|
|
CVSS向量 |
访问途径（AV） |
攻击复杂度（AC） |
||
|
网络 |
高 |
|||
|
所需权限（PR） |
用户交互（UI） |
|||
|
不需要 |
不需要 |
|||
|
影响范围（S） |
机密性影响（C） |
|||
|
不改变 |
高 |
|||
|
完整性影响（I） |
可用性影响（A） |
|||
|
高 |
高 |
|||
|
危害描述 |
拥有其用户名控制权限的攻击者可利用环境变量进行命令注入，成功利用此漏洞的远程攻击者可在目标机器上执行任意命令。 |
|||
1、安全升级
2、缓解方案
[1]https://confluence.atlassian.com/bitbucketserver/bitbucket-server-and-data-center-security-advisory-2022-11-16-1180141667.html
[2]https://www.atlassian.com/software/bitbucket/download-archives
2022年11月21日，奇安信 CERT发布安全风险通告。
原文始发于微信公众号（奇安信 CERT）：Atlassian Bitbucket Server and Data Center命令注入漏洞安全风险通告
- 左青龙
- 微信扫一扫
-
- 右白虎
- 微信扫一扫
-
评论