Kritische Sicherheitslücke bei Atlassian Bitbucket

< < zurück zur Blogübersicht

Heute hat Atlassian einen Hinweis zu einer kri­ti­schen Sicherheitslücke für das Produkt Bitbucket veröffentlicht.

Es wur­den Sicherheitsanfälligkeiten mit kri­ti­schem Schweregrad in Bitbucket Server sowie Bitbucket Data Center für fol­gende Versionen auf­ge­deckt:

• • 5.x before 5.16.10 (feh­ler­be­ho­bene Version für 5.16.x)
  • 6.0.x before 6.0.10 (feh­ler­be­ho­bene Version für 6.0.x)
  • 6.1.x before 6.1.8 (feh­ler­be­ho­bene Version für 6.1.x)
  • 6.2.x before 6.2.6 (feh­ler­be­ho­bene Version für 6.2.x)
  • 6.3.x before 6.3.5 (feh­ler­be­ho­bene Version für 6.3.x)
  • 6.4.x before 6.4.3 (feh­ler­be­ho­bene Version für 6.4.x)
  • 6.5.x before 6.5.2 (feh­ler­be­ho­bene Version für 6.5.x)

 

Bitbucket Server & Bitbucket Data Center hat eine Schwachstelle bei der Argumentinjektion, die es einem Angreifer ermög­licht, zusätz­li­che Argumente in Git-Befehle ein­zu­fü­gen, was zu einer Remotecodeausführung füh­ren kann. Remote-Angreifer kön­nen diese Schwachstelle der Argumenteinbindung aus­nut­zen, wenn sie auf ein Git-Repository im Bitbucket-Server oder Bitbucket-Rechenzentrum zugrei­fen kön­nen. Wenn der öffent­li­che Zugriff für ein Projekt oder Repository akti­viert ist, kön­nen Angreifer die­ses Problem anonym ausnutzen.

Das Problem betrifft die Systeme, die aus dem Internet und Intranet ver­füg­bar sind.

Eine genaue Beschreibung der Lücken und eines Workarounds für Bitbucket ist unter fol­gen­dem Link zu finden:

Atlassian emp­fiehlt die Aktualisierung der Software auf fol­gende (fixed) Versionen:

• 5.16.10
• 6.0.10
• 6.1.8
• 6.2.6
• 6.3.5
• 6.4.3
• 6.5.2
• 6.6.0
• 6.6.1