Jira未授权服务端模板注入缝隙安全公告
颁布功夫 2019-07-15缝隙编号和级别
CVE编号：CVE-2019-11581，危险级别：高危，CVSS分值：官方未评定
影响版本
受影响的版本
AtlassianJira 4.4.x
AtlassianJira 5.x.x
AtlassianJira 6.x.x
AtlassianJira 7.0.x
AtlassianJira 7.1.x
AtlassianJira 7.2.x
AtlassianJira 7.3.x
AtlassianJira 7.4.x
AtlassianJira 7.5.x
AtlassianJira 7.6.x < 7.6.14
AtlassianJira 7.7.x
AtlassianJira 7.8.x
AtlassianJira 7.9.x
AtlassianJira 7.10.x
AtlassianJira 7.11.x
AtlassianJira 7.12.x
AtlassianJira 7.13.x < 7.13.5
AtlassianJira 8.0.x < 8.0.3
AtlassianJira 8.1.x < 8.1.2
AtlassianJira 8.2.x < 8.2.3
漏洞概述
Atlassian Jira是澳大利亚Atlassian公司的一套缺点跟踪治理系统。该系统重要用于对工作中各类问题、缺点进行跟踪治理。
Atlassian Jira Server和Jira Data Center存在服务端模板注入缝隙。成功利用此缝隙的攻击者可在运行受影响版本的Jira Server或Jira Data Center的系统上执行肆意号令。
第一种情况，Jira服务端已配置好SMTP服务器，且“联系治理员表单”职能已开启。(默认配置为关关)
第二种情况，Jira服务端已配置好SMTP服务器，且攻击者拥有"JIRA治理员"的接见权限。在第一种情况下，“联系治理员表单”职能开启的情况下，攻击者能够未经任何认证，通过向/secure/ContactAdministrators.jspa提议要求利用此缝隙。在第二种情况下，攻击者拥有"JIRA 治理员"的接见权限下可通过/secure/admin/SendBulkMail!default.jspa利用此缝隙。
两种触发方式性质原因都是：atlassian-jira/WEB-INF/classes/com/atlassian/jira/web/action/user/ContactAdministrators未对Subject（邮件主题）处进行过滤，用户传入的邮件主题被当作template（模板）指令执行。在职何一种情况下，成功利用此缝隙的攻击者都可在运行受影响版本的Jira Server或Jira Data Center的系统上执行肆意号令。
缝隙验证
暂无POC/EXP。
建复建议
目前已颁布新版本，受影响的版本也已颁布更新。如这些解决规划均不成行，可临时采取如下缓解措施
1.禁用“联系网站治理员”职能。设置-系统-编纂设置-联系治理员表单处选择“关”，而后点击最下面的“更新”保留设置。
具体操作方式参考：https://confluence.atlassian.com/adminjiraserver/configuring-the-administrator-contact-form-974375905.html#Configuringtheadministratorcontactform-DisablingtheContactAdministratorsForm
验证生效步骤：接见/secure/ContactAdministrators!default.jspa出现：“您的Jira治理员尚未配置此联系表。”或“Your Jira administrator has not yetconfigured this contact form”。
2.不容对/secure/admin/SendBulkMail!default.jspa的接见� ？赏ü鼐聪虼怼⒏涸仄胶馄骰蛑苯哟�Tomcat 拦截接见权限，阻止治理员向用户发送批量邮件。
参考链接
https://confluence.atlassian.com/jira/jira-security-advisory-2019-07-10-973486595.html
京公网安备11010802024551号