Jira 未授权 SSRF 缝隙安全公告

颁布功夫 2019-09-24

缝隙编号和级别


CVE编号：CVE-2019-8451，，，，，，，危险级别：中危，，，，，，，CVSS分值：6.5


影响版本


Jira < 8.4.0 


缝隙概述


Atlassian Jira是澳大利亚Atlassian公司的一套缺点跟踪治理系统。。。。。。该系统重要用于对工作中各类问题、缺点进行跟踪治理。。。。。。


Jira 的 /plugins/servlet/gadgets/makeRequest 资源存在 SSRF 缝隙，，，，，，，原因在于 JiraWhitelist 这个类存在逻辑缺点。。。。。。在幼于 8.4.0 的 Jira 版本中，，，，，，，攻击者能够以 Jira 服务端的身份接见内网资源，，，，，，，并且该缝隙无需任何痛处即可触发。。。。。。


缝隙验证


暂无POC/EXP。。。。。。


建复建议


目前厂商已颁布升级补丁以建复缝隙，，，，，，，补丁获取链接：

https://jira.atlassian.com/browse/JRASERVER-69793 


参考链接


https://jira.atlassian.com/browse/JRASERVER-69793