Jira 未授权 SSRF 误差清静通告

宣布时间 2019-09-24

误差编号和级别


CVE编号：CVE-2019-8451， ，，，，危险级别：中危， ，，，，CVSS分值：6.5


影响版本


Jira < 8.4.0 


误差概述


Atlassian Jira是澳大利亚Atlassian公司的一套缺陷跟踪治理系统。。。。。该系统主要用于对事情中种种问题、缺陷举行跟踪治理。。。。。


Jira 的 /plugins/servlet/gadgets/makeRequest 资源保存 SSRF 误差， ，，，，缘故原由在于 JiraWhitelist 这个类保存逻辑缺陷。。。。。在小于 8.4.0 的 Jira 版本中， ，，，，攻击者可以以 Jira 效劳端的身份会见内网资源， ，，，，并且该误差无需任何凭证即可触发。。。。。


误差验证


暂无POC/EXP。。。。。


修复建议


现在厂商已宣布升级补丁以修复误差， ，，，，补丁获取链接：

https://jira.atlassian.com/browse/JRASERVER-69793 


参考链接


https://jira.atlassian.com/browse/JRASERVER-69793