[Cập nhật] Cảnh báo lỗ hổng thực thi mã từ xa trên Bitbucket

[Ginny Hà]

Cập nhật ngày 21/09/2022: Đã có PoC cho lỗ hổng thực thi mã từ xa (CVE-2022-36804) trên BitBucket

Theo Shodan, có khoảng 1.400 máy chủ sử dụng Internet, nhưng không rõ bao nhiêu máy chủ có kho lưu trữ công khai. Đến nay, chưa có báo cáo về việc lỗ hổng đang bị khai thác, tuy nhiên đã có nhiều mã khai thác được công khai.

Vì lỗ hổng này có thể bị khai thác dễ dàng và bản vá tương đối đơn giản để dịch ngược, nên có khả năng là hoạt động khai thác có mục tiêu đã xảy ra trong thực tế. Các nhà nghiên cứu dự đoán sẽ sớm có khai thác quy mô lớn hơn đối với CVE-2022-36804.

--------------------------------------------

Nhiều phiên bản máy chủ và trung tâm dữ liệu của phần mềm Atlassian Bitbucket tồn tại lỗ hổng nghiêm trọng.

​

Bitbucket là kho lưu trữ Git do Atlassian phát triển với các công cụ như Confluence, Jira. Phần mềm có các gói thương mại và miễn phí, và Bitbucket hỗ trợ không giới hạn số lượng kho lưu trữ riêng.

Theo Atlassian, lỗ hổng ảnh hưởng tới phiên bản 7.0.0 của Bitbucket và tất cả các phiên bản được phát hành sau 6.10.17. Vì vậy, người dùng đang chạy bất kỳ phiên bản nào từ 7.0.0 đến 8.3.0 đều bị ảnh hưởng bởi lỗ hổng này.

Các phiên bản đã được vá:

Phiên bản bị ảnh hưởng	Bản vá
Bitbucket Server and Data Center 7.6	7.6.17 (LTS) hoặc mới hơn
Bitbucket Server and Data Center 7.17	7.17.10 (LTS) hoặc mới hơn
Bitbucket Server and Data Center 7.21	7.21.4 (LTS) hoặc mới hơn
Bitbucket Server and Data Center 8.0	8.0.3 hoặc mới hơn
Bitbucket Server and Data Center 8.1	8.1.3 hoặc mới hơn
Bitbucket Server and Data Center 8.2	8.2.2 hoặc mới hơn
Bitbucket Server and Data Center 8.3	8.3.1 hoặc mới hơn

CVE-2022-36804 tồn tại ở nhiều điểm cuối API của Máy chủ và Trung tâm dữ liệu Bitbucket.

“Hacker với quyền truy cập vào kho lưu trữ công khai hoặc có quyền đọc đối với kho lưu trữ Bitbucket riêng tư có thể thực thi mã tùy ý bằng cách gửi một yêu cầu HTTP độc hại”, theo thông tin từ cảnh báo.

Các trang cloud được lưu trữ tại bitbucket.org không bị ảnh hưởng bởi lỗ hổng.

Nguồn: ITnews​