Jira Server 和 Service Desk 修复多个严重漏洞

 聚焦源代码安全，网罗国内外最新资讯！

编译：奇安信代码卫士团队

Atlassian 公司发布更新，修复了 Jira Service Desk 和 Jira Service Desk Data Center 中存在的一个严重漏洞。任何人只要能够访问易受攻击的用户门户就能利用该漏洞。该公司还修复了影响 Jira Server 和 Jira Data Center 的另外一个严重漏洞，它可导致服务器端模板注入，从而引发远程代码执行的后果。

访问 Jira 内部项目

影响 JiraService Desk 和 Jira Service Desk Data Center 的bug 是 URL 路径遍历漏洞，可导致信息暴露问题，编号为 CVE-2019-14994。

Jira Service Desk 是一款服务台请求追踪工具，能够使用户查看问题并提出请求，不过仅限于访问 Jira 实例。

安全研究员 SamCurry 发现，任何人只要能够访问该门户就能绕过该限制。他指出，“攻击者可利用该漏洞查看易受攻击实例中包含的所有 Jira 项目中的所有问题。这些项目包括 Java Service Desk 项目、Jira Core 项目和 Jira Software 项目。”

Tenable 公司的研究员 Satnam Narang 使用高级搜索功能发现公开互联网上存在很多可触及的目标。他发现全球医疗、政府、教育和制造行业的组织机构中超过2.5万个目标受此影响。

CVE-2019-14994 和 Orange Tsai 在2018年从优步发现的一个漏洞类似：只要在 URL 路径参数中增加“..;”就能访问该公司的内部服务器。

Atlassian 发布安全公告指出，该漏洞影响3.9.16之前的版本、3.10.0 起至3.16.8之前的版本、4.0.0起至4.1.3之前的版本、4.2.0起至4.2.5之前的版本、4.3.0起至4.3.4之前的版本以及4.4.0版本。

如下版本已修复CVE-2019-14994：3.9.16、3.16.8、4.1.3、4.2.5、4.3.4和4.4.1。

在更新发布前，可采取如下临时解决方案。管理员可从反向代理或负载平衡级别拦截包含‘..’的 JIRA请求，或者将 JIRA配置为将包含‘..’的请求重定向至安全的 URL。该公司建议在"[jira-installation-directory]/atlassian-jira/WEB-INF/urlrewrite.xml"的“URLwrite”部分添加如下规则：

Jira Server 中的远程代码执行漏洞

Atlassian 公司在另外一份安全公告中披露了一个模板注入 Importers Plugin，它影响 Jira Server 和 Jira Data Center 版本 7.0.10。漏洞编号 CVE-2019-15001。

它也是一个严重漏洞，尽管只有当攻击者在管理员群组时才能利用该漏洞执行多数管理员权限；从应用程序的权限情况来看，他们可能并不具有系统权限或者具有有限的访问权限。该公司指出，“成功利用该问题可导致攻击者在运行易受攻击的 Jira Server 或 Data Center 版本的系统上远程执行代码。”

Daniil Dimitriev 发现了这个严重的漏洞。7.0.10及后续版本受影响：

• 7.0.10起至7.6.16之前的版本（7.6.16版本已修复）

• 7.7.0起至7.13.8之前的版本（7.13.8版本已修复）

• 8.0.0起至8.1.3之前的版本（8.1.3版本已修复）

• 8.2.0起至8.2.5之前的版本（8.2.5版本已修复）

• 8.3.0起至8.3.4之前的版本（8.3.4版本已修复）

• 8.4.0起至8.4.1之前的版本（8.4.1版本已修复）

Atlassian 公司建议更新至已修复版本；如无法立即更新，则可采取缓解措施：拦截 '/rest/jira-importers-plugin/1.0/demo/create'端点的 PUT 请求。

推荐阅读

【缺陷周话】第 8 期 ：路径遍历

原文链接

https://www.bleepingcomputer.com/news/security/jira-server-and-service-desk-fix-critical-security-bugs/

题图：Pixabay License

本文由奇安信代码卫士编译，不代表奇安信观点，转载请注明“转自奇安信代码卫士 www.codesafe.cn”

奇安信代码卫士 (codesafe)

国内首个专注于软件开发安全的产品线。