Jira 未授权 SSRF 误差清静通告

宣布时间 2019-09-24

误差编号和级别


CVE编号：CVE-2019-8451，，，危险级别：中危，，，CVSS分值：6.5


影响版本


Jira < 8.4.0 


误差概述


Atlassian Jira是澳大利亚Atlassian公司的一套缺陷跟踪治理系统。。。。。。 。。该系统主要用于对事情中种种问题、缺陷举行跟踪治理。。。。。。 。。


Jira 的 /plugins/servlet/gadgets/makeRequest 资源保存 SSRF 误差，，，缘故原由在于 JiraWhitelist 这个类保存逻辑缺陷。。。。。。 。。在小于 8.4.0 的 Jira 版本中，，，攻击者可以以 Jira 效劳端的身份会见内网资源，，，并且该误差无需任何凭证即可触发。。。。。。 。。


误差验证


暂无POC/EXP。。。。。。 。。


修复建议


现在厂商已宣布升级补丁以修复误差，，，补丁获取链接：

https://jira.atlassian.com/browse/JRASERVER-69793 


参考链接


https://jira.atlassian.com/browse/JRASERVER-69793