PT-2021-5809 · Atlassian+5 · Bitbucket+6
Alvaro Munoz
+1
·
Publicado
2021-03-10
·
Atualizado
2026-05-12
·
CVE-2020-13936
CVSS v2.0
9.0
Alta
| Vetor | AV:N/AC:L/Au:S/C:C/I:C/A:C |
Nome do software vulnerável e versões afetadas
Versões do Apache Velocity Engine até a 2.2
Versões do Bitbucket Data Center e Server de 7.21.0 a 7.21.7
Descrição
Um invasor capaz de modificar modelos Velocity pode executar código Java arbitrário ou comandos de sistema arbitrários com os mesmos privilégios da conta que executa o contêiner Servlet. Isso se aplica a aplicativos que permitem que usuários não confiáveis enviem/modifiquem modelos Velocity. A vulnerabilidade está relacionada ao gerenciamento incorreto da geração de código no mecanismo de modelos Velocity do Java, o que pode permitir que um invasor remoto acesse dados confidenciais, comprometa sua integridade e cause uma negação de serviço.
Recomendações
Para versões do Apache Velocity Engine até a 2.2, considere desativar a capacidade de usuários não confiáveis fazerem upload ou modificarem modelos Velocity até que um patch esteja disponível.
Para as versões 7.21.0 a 7.21.7 do Bitbucket Data Center e Server, atualize para uma versão igual ou superior à 7.21.8 para resolver o problema.
Correção
RCE
Code Injection
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Identificadores relacionados
Produtos afetados
Apache Velocity Engine
Astra Linux
Bitbucket
Bitbucket Server
Linuxmint
Suse
Ubuntu