Jira 未授权 SSRF 缝隙安全公告
颁布功夫 2019-09-24缝隙编号和级别
CVE编号：CVE-2019-8451，危险级别：中危，CVSS分值：6.5
影响版本
Jira < 8.4.0
缝隙概述
Atlassian Jira是澳大利亚Atlassian公司的一套缺点跟踪治理系统。该系统重要用于对工作中各类问题、缺点进行跟踪治理。
Jira 的 /plugins/servlet/gadgets/makeRequest 资源存在 SSRF 缝隙，原因在于 JiraWhitelist 这个类存在逻辑缺点。在幼于 8.4.0 的 Jira 版本中，攻击者能够以 Jira 服务端的身份接见内网资源，并且该缝隙无需任何痛处即可触发。
缝隙验证
暂无POC/EXP。
建复建议
https://jira.atlassian.com/browse/JRASERVER-69793
参考链接
京公网安备11010802024551号