高危 Bitbucket Server and Data Center 远程命令执行漏洞（CVE-2022-43781）

CVE编号

CVE-2022-43781

利用情况

暂无

补丁情况

官方补丁

披露时间

2022-11-21

漏洞描述

CVE-2022-43781中，Bitbucket Server或者Data Center中存在使用环境变量的命令注入漏洞。具有控制用户名权限的攻击者可以利用此问题在系统上执行代码。Bitbucket Server和Data Center 7.0版中引入了此漏洞。在开启了注册功能的情况下，攻击者可通过注册用户前台执行任意命令。若Bitbucket Server/Data Center 使用PostgreSQL 作为数据库，则不受该漏洞影响。 影响版本： 7.0.0 ≤ version < 7.6.19 7.7.0 ≤ version < 7.17.12 7.18.0 ≤ version < 7.21.6 7.22.0 ≤ version < 8.0.5 8.1.0 ≤ version < 8.1.5 8.2.0 ≤ version < 8.2.4 8.3.0 ≤ version < 8.3.3 8.4.0 ≤ version < 8.4.2 安全版本： 7.6.19 7.17.12 7.21.6 8.0.5 8.1.5 8.2.4 8.3.3 8.4.2 8.5.0

解决建议

1、官方已发布安全更新，建议升级至安全版本及其以上。2、若暂无法升级，建议关闭前台注册功能。

参考链接
https://confluence.atlassian.com/bitbucketserver/bitbucket-server-and-data-ce...
https://confluence.atlassian.com/x/Y4hXRg
https://jira.atlassian.com/browse/BSERV-13522

受影响软件情况

#	类型	厂商	产品	版本	影响面
1
	运行在以下环境
	应用	atlassian	bitbucket	*	From (including) 7.0.0	Up to (excluding) 7.6.19
	运行在以下环境
	应用	atlassian	bitbucket	*	From (including) 7.18.0	Up to (excluding) 7.21.6
	运行在以下环境
	应用	atlassian	bitbucket	*	From (including) 7.22.0	Up to (excluding) 8.0.5
	运行在以下环境
	应用	atlassian	bitbucket	*	From (including) 7.7.0	Up to (excluding) 7.17.12
	运行在以下环境
	应用	atlassian	bitbucket	*	From (including) 8.1.0	Up to (excluding) 8.1.5
	运行在以下环境
	应用	atlassian	bitbucket	*	From (including) 8.2.0	Up to (excluding) 8.2.4
	运行在以下环境
	应用	atlassian	bitbucket	*	From (including) 8.3.0	Up to (excluding) 8.3.3
	运行在以下环境
	应用	atlassian	bitbucket	*	From (including) 8.4.0	Up to (excluding) 8.4.2

阿里云评分 8.0

• 攻击路径 远程
• 攻击复杂度 容易
• 权限要求 普通权限
• 影响范围 全局影响
• EXP成熟度 未验证
• 补丁情况 官方补丁
• 数据保密性 数据泄露
• 数据完整性 传输被破坏
• 服务器危害 服务器失陷
• 全网数量 N/A

CWE-ID	漏洞类型
CWE-77	在命令中使用的特殊元素转义处理不恰当（命令注入）

Exp相关链接

- avd.aliyun.com