Rilasciate due correzioni di bug critici di Atlassian che interessano Crowd e Bitbucket

Redazione RHC : 28 Novembre 2022 08:00

Atlassian ha rilasciato correzioni per due vulnerabilità critiche che interessano Bitbucket Server, Data Center e Crowd. 

Le falle di sicurezza sono tracciate con gli identificatori CVE-2022-43781 e CVE-2022-43782 e sono valutate 9 su 10 sulla scala CVSS:

• CVE-2022-43781: un utente malintenzionato remoto può eseguire codice arbitrario iniettando comandi tramite variabili di ambiente in due casi:
  • Se la registrazione pubblica è abilitata sul server;
  • Se l’attaccante è autenticato e può modificare il nome utente (ovvero dispone dei diritti ADMIN o SYS_ADMIN)

La vulnerabilità interessa le versioni di Bitbucket Server da 7.0 a 7.21 e da 8.0 a 8.4. Come soluzione temporanea, Atlassian suggerisce agli utenti di disabilitare l’impostazione “Consenti registrazione pubblica”.

• CVE-2022-43782: si tratta di una configurazione errata in Crowd Server e Data Center. La vulnerabilità consente a un utente malintenzionato di chiamare endpoint e API con privilegi, ma solo in scenari in cui l’utente malintenzionato si connette da un indirizzo IP aggiunto alla configurazione dell’indirizzo remoto.

La seconda vulnerabilità è stata identificata durante la revisione della sicurezza interna di Atlassian. Questa falla di sicurezza interessa solo gli utenti delle versioni più recenti, quelli che hanno installato Crowd 3.0.0 e versioni successive.

Redazione
La redazione di Red Hot Cyber è composta da un insieme di persone fisiche e fonti anonime che collaborano attivamente fornendo informazioni in anteprima e news sulla sicurezza informatica e sull'informatica in generale.