BitBucket参数注入误差清静通告

宣布时间 2019-09-23

●误差编号和级别


CVE编号：CVE-2019-15000，，，危险级别：严重，，，CVSS分值：9.8


●影响版本


version < 5.16.10

6.0.0 <= version < 6.0.10

6.1.0 <= version < 6.1.8

6.2.0 <= version < 6.2.6

6.3.0 <= version < 6.3.5

6.4.0 <= version < 6.4.3

6.5.0 <= version < 6.5.2


●误差概述


Atlassian Bitbucket Server和Atlassian Bitbucket Data Center都是澳大利亚Atlassian公司的产品。。。Atlassian Bitbucket Server是一款Git代码托管解决计划。。。该计划能够治理并审查代码，，，具有差别视图、JIRA集成和构建集成等功效。。。Atlassian Bitbucket Data Center是Atlassian Bitbucket的数据中心版本。。。


克日，，，Atlassian 官方宣布了关于Atlassian Bitbucke误差通告，，，Atlassian Bitbucket Server和Atlassian Bitbucket Data Center中保存注入误差，，，允许攻击者向Git下令注入特另外参数，，，这可能导致远程下令执行。。。若是远程攻击者能够会见Bitbucket Server或Bitbucket Data Center中的Git存储库，，，则可以使用此参数注入误差。。。若是为项目或存储库启用了公共会见，，，则攻击者可以匿名使用此误差。。。


●误差验证


暂无POC、EXP。。。


●修复建议


现在厂商已宣布升级补丁以修复误差，，，补丁获取链接：

https://jira.atlassian.com/browse/BSERV-11947


●参考链接


https://jira.atlassian.com/browse/BSERV-11947

https://confluence.atlassian.com/bitbucketserver/bitbucket-server-security-advisory-2019-09-18-976762635.html