BitBucket参数注入缝隙安全公告

颁布功夫 2019-09-23

●缝隙编号和级别


CVE编号：CVE-2019-15000，危险级别：严沉，CVSS分值：9.8


●影响版本


version < 5.16.10

6.0.0 <= version < 6.0.10

6.1.0 <= version < 6.1.8

6.2.0 <= version < 6.2.6

6.3.0 <= version < 6.3.5

6.4.0 <= version < 6.4.3

6.5.0 <= version < 6.5.2


●缝隙概述


Atlassian Bitbucket Server和Atlassian Bitbucket Data Center都是澳大利亚Atlassian公司的产品 。Atlassian Bitbucket Server是一款Git代码托管解决规划 。该规划可能治理并审查代码，拥有差距视图、JIRA集成和构建集成等职能 。Atlassian Bitbucket Data Center是Atlassian Bitbucket的数据中心版本 。


近日，Atlassian 官方颁布了关于Atlassian Bitbucke缝隙布告，Atlassian Bitbucket Server和Atlassian Bitbucket Data Center中存在注入缝隙，允许攻击者向Git号令注入额表的参数，这可能导致远程号令执行 。若是远程攻击者可能接见Bitbucket Server或Bitbucket Data Center中的Git存储库，则能够利用此参数注入缝隙 。若是为项目或存储库启用了公共接见，则攻击者能够匿名利用此缝隙 。


●缝隙验证


暂无POC、EXP 。


●建复建议


目前厂商已颁布升级补丁以建复缝隙，补丁获取链接：

https://jira.atlassian.com/browse/BSERV-11947


●参考链接


https://jira.atlassian.com/browse/BSERV-11947

https://confluence.atlassian.com/bitbucketserver/bitbucket-server-security-advisory-2019-09-18-976762635.html