BitBucket参数注入误差清静通告

宣布时间 2019-09-23

●误差编号和级别


CVE编号：CVE-2019-15000，危险级别：严重，CVSS分值：9.8


●影响版本


version < 5.16.10

6.0.0 <= version < 6.0.10

6.1.0 <= version < 6.1.8

6.2.0 <= version < 6.2.6

6.3.0 <= version < 6.3.5

6.4.0 <= version < 6.4.3

6.5.0 <= version < 6.5.2


●误差概述


Atlassian Bitbucket Server和Atlassian Bitbucket Data Center都是澳大利亚Atlassian公司的产品 。Atlassian Bitbucket Server是一款Git代码托管解决计划 。该计划能够治理并审查代码，具有差别视图、JIRA集成和构建集成等功效 。Atlassian Bitbucket Data Center是Atlassian Bitbucket的数据中心版本 。


克日，Atlassian 官方宣布了关于Atlassian Bitbucke误差通告，Atlassian Bitbucket Server和Atlassian Bitbucket Data Center中保存注入误差，允许攻击者向Git下令注入特另外参数，这可能导致远程下令执行 。若是远程攻击者能够会见Bitbucket Server或Bitbucket Data Center中的Git存储库，则可以使用此参数注入误差 。若是为项目或存储库启用了公共会见，则攻击者可以匿名使用此误差 。


●误差验证


暂无POC、EXP 。


●修复建议


现在厂商已宣布升级补丁以修复误差，补丁获取链接：

https://jira.atlassian.com/browse/BSERV-11947


●参考链接


https://jira.atlassian.com/browse/BSERV-11947

https://confluence.atlassian.com/bitbucketserver/bitbucket-server-security-advisory-2019-09-18-976762635.html