NUEVAS ACTUALIZACIONES DE SEGURIDAD EN CROWD Y BITBUCKET

18/11/2022

BOLETÍN NRO 2022-679

Recientemente Atlassian ha implementado actualizaciones de seguridad en Crowd y Bitbucket para reducir el riesgo de ataques zero day por parte de los ciberdelincuentes.

Servicios Afectados

• Bitbucket Server y Datacenter 7.21 y anteriores
• Bitbucket Server y Datacenter 8.3 y anteriores
• Crowd 3.0.0 hasta Crowd 3.7.2
• Crowd 4.0.0 hasta Crowd 4.4.3
• Crowd 5.0.0 hasta Crowd 5.02

Detalles Tecnicos

CVE: CVE-2022-43781,CVE-2022-43782                                    Severidad:   CRÍTICA

Atlassian ha informado esta semana a sus clientes de que ha parcheado vulnerabilidades críticas en sus productos Crowd y Bitbucket.

En el servicio de alojamiento de repositorios de código fuente Bitbucket, Atlassian ha corregido CVE-2022-43781, una vulnerabilidad crítica de inyección de comandos que afecta a la versión 7 de Bitbucket Server y Data Center, en algunos casos a la versión 8.

La vulnerabilidad consiste en inyección de comandos, utilizando variables de entorno en Bitbucket Server y Data Center. A través de la manipulación del parámetro username de un input desconocido se causa la vulnerabilidad de escalada de privilegios donde ocasiona ejecución remota de comandos.

Se han publicado actualizaciones que parchean el fallo tanto para BitBucket 7 y 8. Los sitios de Atlassian Cloud no están afectados.

En el caso de Crowd, un framework de seguridad de aplicaciones que gestiona la autenticación y la autorización de las aplicaciones basadas en la web, Atlassian ha corregido el CVE-2022-43782, un problema crítico de desconfiguración de la seguridad que afecta a todas las versiones a partir de la 3.0.0.

"La vulnerabilidad permite que un atacante que se conecte desde una IP en la lista de permitidos se autentique con la aplicación saltándose la comprobación de la contraseña. Esto permitiría al atacante acceder a los endpoints en Crowd REST API bajo la ruta user management", explicó Atlassian.

Aunque esta brecha de seguridad ha sido calificada como crítica, solo puede ser explotado por las IPs de la lista de permisos de la aplicación Crowd en la configuración de direcciones remotas. Además, solo afecta a las nuevas instalaciones: los usuarios que hayan actualizado su instalación desde una versión anterior a la 3.0.0 no están afectados.

Recomendaciones

Se recomienda a nuestros clientes que cuenten con los servicios que puedan verse afectados, seguir las siguientes acciones preventivas para reducir riesgos:

Para el personal de seguridad de información:

• Actualizar a las versiones recomendados por el proveedor para mitigar la vulnerabilidad.

• Mantener un protocolo estricto para realizar copias de seguridad de los activos de información de mayor criticidad.

• Mantener un protocolo de actualizaciones estricto de sistemas operativos, antivirus y todas las aplicaciones que se ejecutan en ellos.

• Concientizar constantemente a los usuarios en temas relacionados a seguridad informática.

• Mantener el conocimiento situacional de las últimas amenazas y zonas vulnerables de la organización.

** Al aplicar actualizaciones es importante que previamente en ambiente de desarrollo se valide y confirme a nivel de servicios, con el propósito de aplicar los cambios de manera controlada.

Fuente

• Fuente 1: Atlassian fixes critical command injection bug in Bitbucket Server
• Fuente 2: Equipo de Anti-Fraude y Dark Web Intelligence SecureSoft

Contáctanos

Si usted tiene alguna consulta no dude en contactarse con nosotros: 

Perú:
Consultas técnicas: monitoreo_pe@securesoftcorp.com 
Consultas comerciales: ventas@securesoftcorp.com

Ecuador:
Consultas técnicas: monitoreo_ec@securesoftcorp.com
Consultas comerciales: ventas_ec@securesoftcorp.com

Colombia:
Consultas técnicas: monitoreo_co@securesoftcorp.com
Consultas comerciales: ventas_co@securesoftcorp.com

Chile:
Consultas técnicas: monitoreo_cl@securesoftcorp.com
Consultas comerciales: ventas_cl@securesoftcorp.com

​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​