Jira 未授权 SSRF 误差清静通告

宣布时间 2019-09-24

误差编号和级别


CVE编号：CVE-2019-8451 ，危险级别：中危 ，CVSS分值：6.5


影响版本


Jira < 8.4.0 


误差概述


Atlassian Jira是澳大利亚Atlassian公司的一套缺陷跟踪管理系统。该系统主要用于对事情中种种问题、缺陷举行跟踪管理。


Jira 的 /plugins/servlet/gadgets/makeRequest 资源保存 SSRF 误差 ，缘故原由在于 JiraWhitelist 这个类保存逻辑缺陷。在小于 8.4.0 的 Jira 版本中 ，攻击者可以以 Jira 服务端的身份会见内网资源 ，并且该误差无需任何凭证即可触发。


误差验证


暂无POC/EXP。


修复建议


现在厂商已宣布升级补丁以修复误差 ，补丁获取链接：

https://jira.atlassian.com/browse/JRASERVER-69793 


参考链接


https://jira.atlassian.com/browse/JRASERVER-69793