Jira 未授权 SSRF 缝隙安全公告

颁布功夫 2019-09-24

缝隙编号和级别


CVE编号：CVE-2019-8451，，，危险级别：中危，，，CVSS分值：6.5


影响版本


Jira < 8.4.0 


缝隙概述


Atlassian Jira是澳大利亚Atlassian公司的一套缺点跟踪治理系统 。。该系统重要用于对工作中各类问题、、缺点进行跟踪治理 。。


Jira 的 /plugins/servlet/gadgets/makeRequest 资源存在 SSRF 缝隙，，，原因在于 JiraWhitelist 这个类存在逻辑缺点 。。在小于 8.4.0 的 Jira 版本中，，，攻击者能够以 Jira 服务端的身份接见内网资源，，，并且该缝隙无需任何痛处即可触发 。。


缝隙验证


暂无POC/EXP 。。


修复建议


目前厂商已颁布升级补丁以修复缝隙，，，补丁获取链接：

https://jira.atlassian.com/browse/JRASERVER-69793 


参考链接


https://jira.atlassian.com/browse/JRASERVER-69793