Uzmanlar, yaygın olarak kullanılan iki Atlassian Bitbucket aracının – Sunucu ve Veri Merkezi’nin, okuma izinleri olan uzak saldırganların genel veya özel Bitbucket deposuna rastgele kod yürütmesine izin veren yüksek önemde bir kusur taşıdığı konusunda uyardı.
ABD Siber Güvenlik ve Altyapı Ajansı (CISA), kusurun vahşi doğada aktif olarak kullanıldığını belirterek, araçları kullanan şirketleri yama yapmaya çağırdı (yeni sekmede açılır) onların uç noktaları (yeni sekmede açılır) hemen. İnternet trafiği analistleri GreyNoise, CISA’nın bulgularını doğrulayarak, açığın istismar edildiğine dair kanıt bulduğunu söyledi.
Kusur CVE-2022-36804 olarak izleniyor ve her iki aracın da 7.0.0 sürümünde 8.3.0 sürümüne kadar mevcuttu. Atlassian, yamayı hemen uygulayamayan şirketlerin riski en aza indirmek için halka açık depoları kapatması gerektiğini söyledi.
Yaz yama
Şirket, Ağustos 2022’nin sonlarında kusurun varlığını doğruladı, ancak bu, Atlassian’ın bu yıl ilk kez büyük yazılım kusurlarını düzeltmesi gerekmedi.
Geçen yaz, Jira, Confluence ve Bamboo dahil olmak üzere popüler ürünlerinin birçoğunun uzaktan kod yürütme ve ayrıcalık yükseltmeye izin veren iki yüksek önem düzeyine sahip güvenlik açığı taşıdığı tespit edildi.
İlk güvenlik açığı, isteğe bağlı bir Servlet Filtresi baypası olan CVE-2022-26136 olarak izlenir ve tehdit aktörlerinin üçüncü taraf uygulamaların kimlik doğrulama için kullandığı özel Servlet Filtrelerini atlamasını sağlar. Tek yapmaları gereken özel, kötü niyetli bir HTTP isteği göndermek.
İkinci güvenlik açığı CVE-2022-26137 olarak izlenir ve bir çapraz kaynak paylaşımı (CORS) atlaması olarak tanımlanır.
Atlassian, “Özel hazırlanmış bir HTTP isteği göndermek, CORS isteklerine yanıt vermek için kullanılan Servlet Filtresini çalıştırabilir ve bu da CORS baypasına neden olabilir.” dedi. izinler.”
Bu iki kusur bir avuç Atlassian ürününde bulunurken, yalnızca Confluence’da bulunan bir kusur daha vardı. CVE-2022-26138 kusuru, aslında, bulut geçişlerine yardımcı olmak için ayarlanmış, sabit kodlanmış bir paroladır.
Kusurlar o zamandan beri yamalandı.
Aracılığıyla: Kayıt (yeni sekmede açılır)