BitBucket参数注入缝隙安全公告

颁布功夫 2019-09-23

●缝隙编号和级别


CVE编号：CVE-2019-15000，，，，， ，，危险级别：严沉，，，，， ，，CVSS分值：9.8


●影响版本


version < 5.16.10

6.0.0 <= version < 6.0.10

6.1.0 <= version < 6.1.8

6.2.0 <= version < 6.2.6

6.3.0 <= version < 6.3.5

6.4.0 <= version < 6.4.3

6.5.0 <= version < 6.5.2


●缝隙概述


Atlassian Bitbucket Server和Atlassian Bitbucket Data Center都是澳大利亚Atlassian公司的产品。 。。 。。。。。Atlassian Bitbucket Server是一款Git代码托管解决规划。 。。 。。。。。该规划可能治理并审查代码，，，，， ，，拥有差距视图、JIRA集成和构建集成等职能。 。。 。。。。。Atlassian Bitbucket Data Center是Atlassian Bitbucket的数据中心版本。 。。 。。。。。


近日，，，，， ，，Atlassian 官方颁布了关于Atlassian Bitbucke缝隙布告，，，，， ，，Atlassian Bitbucket Server和Atlassian Bitbucket Data Center中存在注入缝隙，，，，， ，，允许攻击者向Git号令注入额表的参数，，，，， ，，这可能导致远程号令执行。 。。 。。。。。若是远程攻击者可能接见Bitbucket Server或Bitbucket Data Center中的Git存储库，，，，， ，，则能够利用此参数注入缝隙。 。。 。。。。。若是为项目或存储库启用了公共接见，，，，， ，，则攻击者能够匿名利用此缝隙。 。。 。。。。。


●缝隙验证


暂无POC、EXP。 。。 。。。。。


●建复建议


目前厂商已颁布升级补丁以建复缝隙，，，，， ，，补丁获取链接：

https://jira.atlassian.com/browse/BSERV-11947


●参考链接


https://jira.atlassian.com/browse/BSERV-11947

https://confluence.atlassian.com/bitbucketserver/bitbucket-server-security-advisory-2019-09-18-976762635.html