Bitbucket Server和Bitbucket Data Center 安全缝隙风险公告

颁布功夫 2020-01-17

缝隙编号和级别


CVE编号：CVE-2019-15010，危险级别：高危，CVSS分值：8.8

CVE编号：CVE-2019-20097，危险级别：高危，CVSS分值：8.8

CVE编号：CVE-2019-15012，危险级别：高危，CVSS分值：8.8


影响版本


Bitbucket Server and Data Center Versions：

All 1.x.x, 2.x.x, 3.x.x, 4.x.x versions

All 5.x.x versions before 5.16.11

All 6.0.x versions before 6.0.11

All 6.1.x versions before 6.1.9

All 6.2.x versions before 6.2.7

All 6.3.x versions before 6.3.6

All 6.4.x versions before 6.4.4

All 6.5.x versions before 6.5.3

All 6.6.x versions before 6.6.3

All 6.7.x versions before 6.7.3

All 6.8.x versions before 6.8.2

All 6.9.x versions before 6.9.1


缝隙概述


Bitbucket是ATLASSIAN公司提供的一个基于web的版本库托管服务，支持Mercurial和Git版本节造系统。


ATLASSIAN公司公开了其产品Bitbucket Server and Data Center的3个远程代码执行缝隙，这些缝隙影响 Bitbucket Server and Data Center的多个版本。缝隙详情如下：


CVE-2019-15010：

此缝隙影响从3.0.0起头的Bitbucket服务器和数据中心版本。拥有效户级别权限的攻击者可通过机关特造的有效载荷作为用户输入，尝试远程利用此缝隙，成功利用时能够在受害者的Bitbucket服务器或数据中苦衷俘上执行肆意号令。


CVE-2019-20097：

此缝隙影响从1.0.0起头的Bitbucket服务器和数据中心版本。攻击者在有权克隆文件并将其推送到受害者Bitbucket服务器或数据中苦衷俘上的项目仓库的前提下，可通过使用蕴含特造内容的文件尝试远程利用此缝隙，成功利用时可在Bitbucket服务器或数据中心系统上执行肆意号令。


CVE-2019-15012：

此缝隙影响Bitbucket服务器和数据中心高于或蹬宗4.13的版本。攻击者在对某个项目仓库拥有写权限的情况下，能够通过对受害者的以可写权限运行的Bitbucket服务器或数据中苦衷俘写入肆意文件尝试远程利用此缝隙，成功利用时能够至使受害者的Bitbucket服务器事俘执行肆意代码。


缝隙验证


暂无POC/EXP。


建复建议


目前厂商已颁布升级补丁以建复缝隙，补丁获取链接：https://www.atlassian.com/software/bitbucket/download-archives。


参考链接


https://confluence.atlassian.com/bitbucketserver/bitbucket-server-security-advisory-2020-01-15-985498238.html