CVE-2022-36804

Falha de injeção de comando em múltiplos endpoints de API REST do Bitbucket Server e Data Center que permite execução remota de código a qualquer usuário com acesso de leitura a um repositório — público ou privado. O requisito de autorização é mínimo (permissão de leitura, não de escrita/admin), o que torna a superfície de exploração muito maior do que o normal para RCE em ferramentas de dev, e está confirmada como explorada ativamente (KEV da CISA).

A vulnerabilidade é uma injeção de comando de sistema operacional (CWE-78, com componentes de CWE-88 — argument injection — e CWE-158 relacionado a caracteres de controle não sanitizados) presente em múltiplos endpoints da API do Bitbucket Server/Data Center. O Atlassian não detalhou publicamente qual parâmetro ou operação exata do backend Git é o vetor primário; o advisory oficial (BSERV-13438) só confirma que 'múltiplos endpoints de API' aceitam entrada de requisições HTTP que termina sendo passada, sem sanitização adequada, para execução de comandos no sistema operacional subjacente.

O fator crítico é o nível de privilégio exigido: a Atlassian classificou a falha com CVSS 9.9 (o catálogo NVD usa 8.8, refletindo diferenças de escopo/impacto entre os cálculos), e ambos concordam que basta acesso de leitura — não de escrita, não de admin — a um repositório para acionar a cadeia. Como muitas instâncias mantêm repositórios públicos ou concedem leitura ampla por padrão a usuários autenticados, a barreira de pré-condição é baixa.

O Atlassian confirma que a janela de exposição é ampla: toda versão lançada após 6.10.17, incluindo toda a linha 7.x e 8.x até 8.3.0, está vulnerável. Isso indica que a falha está presente há anos no código antes de ser reportada via bug bounty por um pesquisador identificado como TheGrandPew.

O vetor é uma requisição HTTP manipulada contra a API do Bitbucket, sem necessidade de interação do usuário-alvo (UI:N no vetor CVSS) e sem exigir acesso privilegiado — só permissão de leitura no repositório, público ou privado. A complexidade de ataque é considerada baixa pelo próprio CVSS (AC:L), e a existência de módulo Metasploit, template Nuclei e PoCs públicas (referenciadas em análises no PacketStorm) confirma que a exploração foi automatizada e amplamente reproduzida por pesquisadores fora da Atlassian.

A CISA incluiu a CVE no catálogo KEV em 30/09/2022, com prazo de correção definido para 21/10/2022, confirmando exploração ativa em ambientes reais — embora a CISA não classifique a falha como associada a campanhas de ransomware conhecidas ('Unknown' no campo correspondente).

O resultado final da exploração é execução arbitrária de código no contexto do processo do servidor Bitbucket, o que em instâncias típicas significa comprometimento total do serviço, acesso a todos os repositórios hospedados (incluindo privados) e possível movimento lateral a partir do host onde o Bitbucket roda — dado que servidores de código-fonte costumam ter credenciais de CI/CD e chaves de deploy acessíveis.

A correção definitiva é atualizar para uma das versões corrigidas por branch: 7.6.17 (LTS) ou mais recente na linha 7.6; 7.17.10 (LTS) ou mais recente na 7.17; 7.21.4 (LTS) ou mais recente na 7.21; 8.0.3+; 8.1.3+; 8.2.2+; e 8.3.1+. Instâncias que usam Bitbucket Mesh precisam atualizar os nós de Mesh para a versão compatível com o Bitbucket corrigido, conforme a matriz de compatibilidade do fornecedor — atualizar só o Bitbucket sem atualizar o Mesh deixa a exposição parcial.

A Atlassian não publicou um workaround oficial de configuração que neutralize a falha sem atualizar — não há flag ou parâmetro documentado para desativar os endpoints afetados sem perda de funcionalidade. Isso significa que, para quem não pode atualizar imediatamente, o único controle compensatório realista é restringir o acesso de rede à instância (isolar Bitbucket detrás de VPN ou allowlist de IPs) e revisar/reduzir permissões de leitura em repositórios, já que a pré-condição de exploração é justamente ter leitura no repo — reduzir quem tem essa permissão reduz a superfície, mas não elimina o risco de qualquer usuário legítimo malicioso ou com credencial comprometida.

Dado que há PoC pública, módulo Metasploit e template Nuclei disponíveis, tratar essa CVE como 'baixo risco por exigir só leitura' é o erro mais comum — leitura é a permissão mais amplamente concedida em qualquer instância de código-fonte corporativa, então na prática a barreira de exploração é próxima de zero para insiders e para qualquer atacante externo em repositórios públicos.

Como o Atlassian não detalhou publicamente o endpoint ou parâmetro exato explorado, não há assinatura oficial de log confirmada pelo fornecedor. Na prática, monitorar logs de acesso HTTP do Bitbucket por requisições anômalas a endpoints de API contendo caracteres de shell (aspas, pipes, ponto-e-vírgula, backticks) em parâmetros de nome de repositório, branch ou caminho é o indicador mais plausível, assim como a existência de template Nuclei público permite testar a própria instância contra o padrão de detecção conhecido pela comunidade — mas isso não substitui a análise de logs históricos, já que a exploração pode ter ocorrido antes da divulgação do template.