Jira未授权服务端模板注入缝隙安全公告
颁布功夫 2019-07-15缝隙编号和级别
CVE编号：CVE-2019-11581，，，， ，，，危险级别：高危，，，， ，，，CVSS分值：官方未评定
影响版本
受影响的版本
AtlassianJira 4.4.x
AtlassianJira 5.x.x
AtlassianJira 6.x.x
AtlassianJira 7.0.x
AtlassianJira 7.1.x
AtlassianJira 7.2.x
AtlassianJira 7.3.x
AtlassianJira 7.4.x
AtlassianJira 7.5.x
AtlassianJira 7.6.x < 7.6.14
AtlassianJira 7.7.x
AtlassianJira 7.8.x
AtlassianJira 7.9.x
AtlassianJira 7.10.x
AtlassianJira 7.11.x
AtlassianJira 7.12.x
AtlassianJira 7.13.x < 7.13.5
AtlassianJira 8.0.x < 8.0.3
AtlassianJira 8.1.x < 8.1.2
AtlassianJira 8.2.x < 8.2.3
漏洞概述
Atlassian Jira是澳大利亚Atlassian公司的一套缺点跟踪治理系统。。 。。 。。该系统重要用于对工作中各类问题、缺点进行跟踪治理。。 。。 。。
Atlassian Jira Server和Jira Data Center存在服务端模板注入缝隙。。 。。 。。成功利用此缝隙的攻击者可在运行受影响版本的Jira Server或Jira Data Center的系统上执行肆意号令。。 。。 。。
第一种情况，，，， ，，，Jira服务端已配置好SMTP服务器，，，， ，，，且“联系治理员表单”职能已开启。。 。。 。。(默认配置为关关)
第二种情况，，，， ，，，Jira服务端已配置好SMTP服务器，，，， ，，，且攻击者拥有"JIRA治理员"的接见权限。。 。。 。。在第一种情况下，，，， ，，，“联系治理员表单”职能开启的情况下，，，， ，，，攻击者能够未经任何认证，，，， ，，，通过向/secure/ContactAdministrators.jspa提议要求利用此缝隙。。 。。 。。在第二种情况下，，，， ，，，攻击者拥有"JIRA 治理员"的接见权限下可通过/secure/admin/SendBulkMail!default.jspa利用此缝隙。。 。。 。。
两种触发方式性质原因都是：atlassian-jira/WEB-INF/classes/com/atlassian/jira/web/action/user/ContactAdministrators未对Subject（邮件主题）处进行过滤，，，， ，，，用户传入的邮件主题被当作template（模板）指令执行。。 。。 。。在职何一种情况下，，，， ，，，成功利用此缝隙的攻击者都可在运行受影响版本的Jira Server或Jira Data Center的系统上执行肆意号令。。 。。 。。
缝隙验证
暂无POC/EXP。。 。。 。。
建复建议
目前已颁布新版本，，，， ，，，受影响的版本也已颁布更新。。 。。 。。如这些解决规划均不成行，，，， ，，，可临时采取如下缓解措施
1.禁用“联系网站治理员”职能。。 。。 。。设置-系统-编纂设置-联系治理员表单处选择“关”，，，， ，，，而后点击最下面的“更新”保留设置。。 。。 。。
具体操作方式参考：https://confluence.atlassian.com/adminjiraserver/configuring-the-administrator-contact-form-974375905.html#Configuringtheadministratorcontactform-DisablingtheContactAdministratorsForm
验证生效步骤：接见/secure/ContactAdministrators!default.jspa出现：“您的Jira治理员尚未配置此联系表。。 。。 。。”或“Your Jira administrator has not yetconfigured this contact form”。。 。。 。。
2.不容对/secure/admin/SendBulkMail!default.jspa的接见。。 。。 。。�？？ ？ ？赏ü鼐聪虼怼⒏涸仄胶馄骰蛑苯哟�Tomcat 拦截接见权限，，，， ，，，阻止治理员向用户发送批量邮件。。 。。 。。
参考链接
https://confluence.atlassian.com/jira/jira-security-advisory-2019-07-10-973486595.html
京公网安备11010802024551号