Jira 未授权 SSRF 误差清静通告

宣布时间 2019-09-24

误差编号和级别


CVE编号：CVE-2019-8451，危险级别：中危，CVSS分值：6.5


影响版本


Jira < 8.4.0 


误差概述


Atlassian Jira是澳大利亚Atlassian公司的一套缺陷跟踪管理系统。该系统主要用于对事情中种种问题、缺陷举行跟踪管理。


Jira 的 /plugins/servlet/gadgets/makeRequest 资源保存 SSRF 误差，缘故原由在于 JiraWhitelist 这个类保存逻辑缺陷。在小于 8.4.0 的 Jira 版本中，攻击者可以以 Jira 服务端的身份会见内网资源，并且该误差无需任何凭证即可触发。


误差验证


暂无POC/EXP。


修复建议


现在厂商已宣布升级补丁以修复误差，补丁获取链接：

https://jira.atlassian.com/browse/JRASERVER-69793 


参考链接


https://jira.atlassian.com/browse/JRASERVER-69793