{"id":273109,"date":"2022-09-22T13:23:43","date_gmt":"2022-09-22T11:23:43","guid":{"rendered":"https:\/\/www.borncity.com\/blog\/?p=273109"},"modified":"2022-09-22T16:00:54","modified_gmt":"2022-09-22T14:00:54","slug":"pre-auth-remote-command-execution-cve-2022-36804-in-atlassian-bitbucket","status":"publish","type":"post","link":"https:\/\/borncity.com\/blog\/2022\/09\/22\/pre-auth-remote-command-execution-cve-2022-36804-in-atlassian-bitbucket\/","title":{"rendered":"Pre Auth Remote Command Execution (CVE-2022-36804) in Atlassian Bitbucket"},"content":{"rendered":"

\"Sicherheit[English<\/a>]In der Versionsverwaltung f\u00fcr Software-Entwicklungsprojekte, Atlassian Bitbucket, gibt es eine kritische Remote Command Execution Schwachstelle (CVE-2022-36804). Atlassian hatte Ende August 2022 bereits einen Sicherheitshinweise sowie ein Produkt-Update f\u00fcr die als kritisch eingestufte Schwachstelle ver\u00f6ffentlicht. Jetzt scheinen die Entdecker Details zur Schwachstelle ver\u00f6ffentlicht zu haben.<\/p>\n

<\/p>\n

Atlassian Bitbucket<\/h2>\n

\"\"Atlassian Bitbucket<\/a> ist ein webbasierter Onlinedienst zur Versionsverwaltung f\u00fcr Software-Entwicklungsprojekte. Der Dienst wurde urspr\u00fcnglich als reines Mercurial-System entwickelt, jedoch am 3. Oktober 2011 um Unterst\u00fctzung f\u00fcr Git erweitert. Die Wikipedia<\/a> gibt an, dass 2014 \u00fcber 330.000 Teams aus \u00fcber 2,5 Millionen Entwicklern mit Bitbucket arbeiteten – neuere Daten habe ich nicht.<\/p>\n

Atlassian Sicherheitswarnung zu Bitbucket<\/h2>\n

Als ich heute kurz recherchiert habe, bin ich auf die Sicherheitswarnung Bitbucket Server and Data Center – Command injection vulnerability – CVE-2022-36804<\/a> von Atlassian gesto\u00dfen. Zum 24. August 2022 warnen die Leute Command Injection-Schwachstelle CVE-2022-36804, die sowohl Bitbucket Server als auch das Bitbucket Data Center betrifft. Dazu hei\u00dft es:<\/p>\n

Dieser Hinweis deckt eine kritische Sicherheitsschwachstelle auf, die in Version 7.0.0 von Bitbucket Server und Data Center eingef\u00fchrt wurde. Alle Versionen, die nach 6.10.17 ver\u00f6ffentlicht wurden, einschlie\u00dflich 7.0.0 und neuer, sind von dieser Schwachstelle betroffen. Das bedeutet, dass alle Instanzen, die eine Version zwischen 7.0.0 und 8.3.0 einschlie\u00dflich ausf\u00fchren, von dieser Schwachstelle betroffen sind.<\/p><\/blockquote>\n

Es gibt eine Befehlsinjektionsschwachstelle in mehreren API-Endpunkten von Bitbucket Server und Data Center. Ein Angreifer mit Zugriff auf ein \u00f6ffentliches Repository oder mit Leserechten auf ein privates Bitbucket-Repository kann beliebigen Code ausf\u00fchren, indem er eine b\u00f6sartige HTTP-Anfrage sendet.<\/p>\n

Alle Versionen von Bitbucket Server und Datacenter, die nach 6.10.17 ver\u00f6ffentlicht wurden, einschlie\u00dflich 7.0.0 und neuer, sind von dieser Schwachstelle betroffen. Das bedeutet, dass alle Instanzen, auf denen eine Version zwischen 7.0.0 und 8.3.0 einschlie\u00dflich l\u00e4uft, von dieser Schwachstelle betroffen sind. Atlassian hat f\u00fcr alle betroffenen Versionen von Bitbucket Server und Datacenter Bug-Fixes ver\u00f6ffentlicht, die hier aufgelistet<\/a> werden.<\/p>\n

Details zu CVE-2022-36804<\/h2>\n

Gerade bin ich auf Twitter \u00fcber nachfolgenden Tweet<\/a> auf die Ver\u00f6ffentlichung Breaking Bitbucket: Pre Auth Remote Command Execution (CVE-2022-36804<\/a> von assetnote.io gesto\u00dfen. In einem Blog-Beitrag vom 14. September 2022 legen deren Sicherheitsforscher die Details dieser Schwachstelle offen.<\/p>\n

<\/a><\/p>\n","protected":false},"excerpt":{"rendered":"

[English]In der Versionsverwaltung f\u00fcr Software-Entwicklungsprojekte, Atlassian Bitbucket, gibt es eine kritische Remote Command Execution Schwachstelle (CVE-2022-36804). Atlassian hatte Ende August 2022 bereits einen Sicherheitshinweise sowie ein Produkt-Update f\u00fcr die als kritisch eingestufte Schwachstelle ver\u00f6ffentlicht. Jetzt scheinen die Entdecker Details zur … Weiterlesen →<\/span><\/a><\/p>\n","protected":false},"author":2,"featured_media":0,"comment_status":"open","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[426],"tags":[4328],"class_list":["post-273109","post","type-post","status-publish","format-standard","hentry","category-sicherheit","tag-sicherheit"],"_links":{"self":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/posts\/273109","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/users\/2"}],"replies":[{"embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/comments?post=273109"}],"version-history":[{"count":0,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/posts\/273109\/revisions"}],"wp:attachment":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/media?parent=273109"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/categories?post=273109"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/tags?post=273109"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}