Разработчики Atlassian устранили критические уязвимости в Crowd Server и Data Center, а также в Bitbucket Server и Data Center. По оценкам компании, обе проблемы получили 9 баллов из 10 возможных.
Уязвимость в Crowd Server и Data Center получила идентификатор CVE-2022-43782 и связана с некорректной конфигурацией. Сообщается, что проблема возникла в версии 3.0 и влияет только на новые установки, то есть не затрагивает обновления с предыдущих версий, таких как 2.9.1.
«Уязвимость позволяет злоумышленнику, подключающемуся с IP-адреса из списка разрешенных, пройти аутентификацию в качестве crowd-приложения, минуя проверку пароля. Это позволит вызывать привилегированные конечные точки Crowd REST API», — поясняют разработчики.
Вторая уязвимость была обнаружена в Bitbucket Server и Data Center, CVE-2022-43781, и появилась в версии 7.0. Баг связан с внедрением команд, позволяя злоумышленнику, имеющему разрешение на управление своим именем пользователя, при определенных условиях выполнить код в целевой системе.
Известно, что это проблема затрагивает все версии, начиная от 7.0 до 7.21 (независимо от их конфигурации), а также версии от 8.0 до 8.4, где функция mesh.enabled отключена в bitbucket.properties.
Подчеркивается, что CVE-2022-43781 не влияет на экземпляры, где работает PostgreSQL, и экземпляры, размещенные в Atlassian (на доменах bitbucket.org).
