Atlassian Logo am Hauptsitz des Unternehmens
Atlassian Logo am Hauptsitz des Unternehmens
Bildquelle: MichaelVi, Lizenz

Bitbucket: Kritische Sicherheitslücke gefährdet Unternehmen

Aufgrund einer kritischen Schwachstelle im Bitbucket Server und Data Center rät Atlassian Betroffenen dringend Updates einzuspielen.

Eine schwerwiegende Sicherheitslücke im Bitbucket Server und Data Center von Atlassian erlaubt die Ausführung von beliebigem Code aus der Ferne. Dadurch können Angreifer nicht nur Malware einschleusen, sondern auch in Repositorys gespeicherte Daten auslesen, ändern und löschen. Bisher ist kein Fall bekannt, in dem die Sicherheitslücke aktiv ausgenutzt wurde.

Ein Bitbucket-Patch steht bereit – das Update ist anzuraten

Der Twitter-User @TheGrandPew entdeckte und meldete die Schwachstelle im Bitbucket Server und Data Center bereits im Juli – und kassierte dafür eine Belohnung vom Entwickler.

Einen Patch hat Atlassian mittlerweile bereitgestellt und Anwender sollten betroffene Softwarepakete zeitnah aktualisieren. Denn mit einem CVSS-Score von 9,9 ist die Sicherheitslücke CVE-2022-36804 tatsächlich sehr kritisch. Betroffen sind alle Bitbucket Server und Data Center Versionen von 7.0.0 bis 8.3.0.

“Ein Angreifer mit Zugriff auf ein öffentliches Bitbucket-Repository oder mit Leserechten für ein privates Repository kann beliebigen Code ausführen, indem er eine bösartige HTTP-Anfrage sendet.”

Atlassian

Auch das Center for Internet Security (CIS) bestätigt das hohe Sicherheitsrisiko. Es warnt insbesondere Unternehmen und Regierungsbehörden, da diese Bitbucket häufig als Quellcodeverwaltung für ihre eigenen Projekte einsetzen.

Bitbucket Logo
Bitbucket Logo / Quelle: Wikipedia

Betreiber von Bitbucket Mesh-Knoten sind ebenfalls dazu angehalten, ein Update auf eine neue Mesh-Version durchzuführen. Um die Kompatibilität zum Bitbucket Data Center sicherzustellen, ist eine Überprüfung der jeweiligen Version über die von Atlassian bereitgestellte Kompatibilitätsmatrix anzuraten.

Wer aktuell kein Bitbucket-Update ausführen kann, ist dazu angehalten, zumindest öffentliche Repositorys zu deaktivieren, um die Angriffsfläche vorübergehend zu verkleinern. Dies bietet jedoch keinen vollumfänglichen Schutz vor der Ausnutzung der Schwachstelle, sofern Angreifer sich Zugriff auf ein Benutzerkonto mit Zugriffsrechten auf das Repository verschaffen können.

Auch die besten Entwickler kochen nur mit Wasser

Und sie bauen manchmal, sicherlich unbeabsichtigt, Sicherheitslücken in ihre Softwareprodukte ein. Je nachdem, welche Software dies betrifft, sind die Auswirkungen mal brisanter und mal weniger brisant. Mal trifft es eher Unternehmen, mal eher Privatpersonen.

Während wir erst kürzlich von Schwachstellen in Funk-Türschlössern und Notebook-Betriebssystemen berichteten, von denen sicherlich eher Privatpersonen betroffen sind, macht der Fall von Bitbucket tendenziell eher Unternehmen und Behörden zur Zielscheibe potenzieller Angriffe.

Tarnkappe.info

Kategorie: Hacking, Malware, Softwareentwicklung
Marc Stöckel hat nach seiner Ausbildung zum IT-Systemelektroniker und einem Studium im Bereich der technischen Informatik rund 5 Jahre als Softwareentwickler gearbeitet. Um seine technische Expertise sowie seine Sprachfertigkeiten weiter auszubauen, schreibt er seit dem Sommer 2022 regelmäßig Artikel zu den Themenbereichen Software, IT-Sicherheit, Datenschutz, Cyberkriminalität und Kryptowährungen.