CVE-2019-15000

Endpoint REST służący do wyświetlania różnic między commitami nie filtruje poprawnie danych wejściowych przekazywanych do poleceń git. Atakujący może wstrzyknąć dodatkowe argumenty do wywołań git, co prowadzi do wykonania niezamierzonych operacji systemowych. W przypadku projektów lub repozytoriów z włączonym dostępem publicznym exploit może zostać przeprowadzony anonimowo, bez żadnych uprawnień. Użytkownicy posiadający dostęp do repozytorium mogą przeprowadzić atak niezależnie od ustawień publicznego dostępu.

Atakujący może odczytać zawartość dowolnych plików w systemie operacyjnym oraz wykonywać polecenia systemowe z uprawnieniami procesu Bitbucket, co może prowadzić do pełnego przejęcia serwera.

Należy zaktualizować Atlassian Bitbucket Server lub Data Center do wersji naprawczych: 5.16.10, 6.0.10, 6.1.8, 6.2.6, 6.3.5, 6.4.3 lub 6.5.2 (odpowiednio dla używanej gałęzi). Jako obejście tymczasowe zaleca się wyłączenie publicznego dostępu do projektów i repozytoriów oraz ograniczenie dostępu do instancji Bitbucket wyłącznie do zaufanych użytkowników.

Atlassian Bitbucket Server i Data Center: wersje przed 5.16.10 (gałąź 5.16.x), od 6.0.0 przed 6.0.10, od 6.1.0 przed 6.1.8, od 6.2.0 przed 6.2.6, od 6.3.0 przed 6.3.5, od 6.4.0 przed 6.4.3 oraz od 6.5.0 przed 6.5.2

Dostępny jest publiczny exploit opublikowany w serwisie PacketStorm Security oraz na liście BugTraq (wrzesień 2019), co zwiększa ryzyko wykorzystania podatności w środowiskach bez zastosowanego patcha.