Atlassian heeft een kritieke kwetsbaarheid in Bitbucket Server en Bitbucket Data Center verholpen waardoor een aanvaller door het versturen van een malafide http-request willekeurige code op de server kan uitvoeren. De 17-jarige beveiligingsonderzoeker die de kwetsbaarheid ontdekte maakt binnenkort proof-of-concept exploitcode openbaar.

Bitbucket Server en Data Center zijn oplossingen voor softwareontwikkeling. Via de platformen kunnen meerdere ontwikkelaars aan een softwareproject werken. Het is mogelijk om een eigen server te hosten of een cloudversie van Atlassian te gebruiken. Een kwetsbaarheid in de zelf gehoste versies, aangeduid als CVE-2022-36804, maakt het mogelijk voor een aanvaller met toegang tot een publieke repository of met leesrechten voor een private Bitbucket-repository om willekeurige code uit te voeren.

Volgens Atlassian gaat het om een kritieke kwetsbaarheid. De impact van het beveiligingslek is op een schaal van 1 tot en met 10 beoordeeld met een 9.9. Het probleem werd gevonden door onderzoeker Max Garrett. Hij laat weten binnenkort proof-of-concept exploitcode voor de kwetsbaarheid openbaar te maken. Organisaties worden dan ook aangeraden om hun installaties te updaten.