La soci\u00e9t\u00e9 de logiciels australienne Atlassian a d\u00e9ploy\u00e9 des mises \u00e0 jour de s\u00e9curit\u00e9 pour r\u00e9pondre deux d\u00e9fauts critiques<\/a> affectant les produits Bitbucket Server, Data Center et Crowd.<\/p>\n Les probl\u00e8mes, suivis comme CVE-2022-43781<\/strong><\/a> et CVE-2022-43782<\/strong><\/a>sont tous deux not\u00e9s 9 sur 10 sur le syst\u00e8me de notation des vuln\u00e9rabilit\u00e9s CVSS.<\/p>\n CVE-2022-43781, qui, selon Atlassian, a \u00e9t\u00e9 introduit dans la version 7.0.0 de Bitbucket Server et Data Center, affecte les versions 7.0 \u00e0 7.21 et 8.0 \u00e0 8.4 (uniquement si mesh.enabled est d\u00e9fini sur false dans bitbucket.properties).<\/p>\n La faiblesse a \u00e9t\u00e9 d\u00e9crite comme un cas d’injection de commande \u00e0 l’aide de variables d’environnement dans le logiciel, ce qui pourrait permettre \u00e0 un adversaire autoris\u00e9 \u00e0 contr\u00f4ler son nom d’utilisateur d’obtenir l’ex\u00e9cution de code sur le syst\u00e8me affect\u00e9.<\/p>\n Comme solution de contournement temporaire, la soci\u00e9t\u00e9 recommande aux utilisateurs de d\u00e9sactiver l’option “Inscription publique” (Administration\u00a0> Authentification).<\/p>\n “La d\u00e9sactivation de l’inscription publique changerait le vecteur d’attaque d’une attaque non authentifi\u00e9e \u00e0 une attaque authentifi\u00e9e, ce qui r\u00e9duirait le risque d’exploitation”, a-t-il not\u00e9 dans un avis. “Les utilisateurs authentifi\u00e9s par ADMIN ou SYS_ADMIN ont toujours la possibilit\u00e9 d’exploiter la vuln\u00e9rabilit\u00e9 lorsque l’inscription publique est d\u00e9sactiv\u00e9e.”<\/p>\n La deuxi\u00e8me vuln\u00e9rabilit\u00e9, CVE-2022-43782, concerne une mauvaise configuration dans Crowd Server et Data Center qui pourrait permettre \u00e0 un attaquant d’invoquer des points de terminaison d’API privil\u00e9gi\u00e9s, mais uniquement dans les sc\u00e9narios o\u00f9 le mauvais acteur se connecte \u00e0 partir d’une adresse IP ajout\u00e9e \u00e0 la configuration de l’adresse distante. .<\/p>\n Introduite dans Crowd 3.0.0 et identifi\u00e9e lors d’un examen de s\u00e9curit\u00e9 interne, la lacune affecte toutes les nouvelles installations, ce qui signifie que les utilisateurs qui ont mis \u00e0 niveau \u00e0 partir d’une version ant\u00e9rieure \u00e0 Crowd 3.0.0 ne sont pas vuln\u00e9rables.<\/p>\n Il n’est pas rare que des failles dans Atlassian et Bitbucket soient soumises \u00e0 une exploitation active dans la nature, ce qui oblige les utilisateurs \u00e0 agir rapidement pour appliquer les correctifs.<\/p>\n Le mois dernier, la Cybersecurity and Infrastructure Security Agency (CISA) des \u00c9tats-Unis a averti qu’une faille d’injection de commandes dans Bitbucket Server and Data Center (CVE-2022-36804, score CVSS\u00a0: 9,9) \u00e9tait militaris\u00e9e dans des attaques depuis fin septembre 2022.<\/p>\n <\/p>\n<\/div>\n