Atlassian Jira 8.13.x < 8.13.21 / 8.20.x < 8.20.9 / 8.22.x < 8.22.3 / 9.0.0 SQLI (JRASERVER-73885)

critical Nessus 插件 ID 162398

简介

远程 Atlassian Jira 主机缺少安全更新。

描述

远程主机上安装的 Atlassian Jira 版本低于 8.13.x < 8.13.21 / 8.20.x < 8.20.9 / 8.22.x < 8.22.3 / 9.0.0。因此,该应用程序受到 JRASERVER-73885 公告中提及的一个漏洞的影响。

- Jira 使用的 {{log4j}} 版本已从 *1.2.7-atlassian-3* 更新到
*1.2.7-atlassian-16*,目的在于解决以下漏洞:
[CVE-2021-4104|https://www.cve.org/CVERecord?id=CVE-2021-4104] JMSAppender 容易受到反序列化缺陷的影响。具有更新 Jira 配置特权的本地攻击者可利用此缺陷执行任意代码。Jira 未配置为使用 JMSAppender,Atlassian 也未提供有关将 JMSAppender 与 Jira 配合使用的任何文档。Atlassian [已通过在 Atlassian {{{}log4j{}}} 版本中阻止外部 JNDI 查找|https://bitbucket.org/atlassian/log4j1/pull-requests/9] 修复了此漏洞。[CVE-2020-9493|https://www.cve.org/CVERecord?id=CVE-2020-9493] 和 [CVE-2022-23307|https://www.cve.org/CVERecord?id=CVE-2022-23307] Apache Chainsaw 与 {{log4j}} 1.2.x 绑定,并且容易受到反序列化缺陷的影响。未经身份验证的远程攻击者可利用此漏洞执行任意代码。请注意,Chainsaw 是一种设计用于手动执行的日志查看器。Jira 不需要、默认情况下也不会执行 Chainsaw,且 Atlassian 也不会提供有关将 Chainsaw 与 Jira 配合使用的任何文档。Atlassian [已通过从 Atlassian {{{}log4j{}}} 版本中移除 Chainsaw|https://bitbucket.org/atlassian/log4j1/commits/3a06f7e94efa98331a875532212a3005fd9766d0] 修复了此漏洞。[CVE-2022-23302|https://www.cve.org/CVERecord?id=CVE-2022-23302]JMSSink 容易受到反序列化缺陷的影响。具有更新 Jira 配置特权的本地攻击者可利用此缺陷执行任意代码。Jira 未配置为在默认情况下使用 JMSSink,Atlassian 也未提供有关将 JMSSink 与 Jira 配合使用的任何文档。Atlassian [已通过从 Atlassian {{{}log4j{}}} 版本中移除 JMSSink|https://bitbucket.org/atlassian/log4j1/commits/48b34334e5278dfd52b361b1ec6943ca4c3b997e] 修复了此漏洞。[CVE-2022-23305|https://www.cve.org/CVERecord?id=CVE-2022-23305]在配置为使用消息转换器 ({{{}%m{}}}) 时,JDBCAppender 容易受到 SQL 注入缺陷的影响。未经身份验证的远程攻击者可利用此缺陷来执行任意 SQL 查询。Jira 未配置为在默认情况下使用 JDBCAppender,Atlassian 也未提供有关将 JDBCAppender 与 Jira 配合使用的任何文档。Atlassian [已通过从 Atlassian {{{}log4j{}}} 版本中移除 JDBCAppender|https://bitbucket.org/atlassian/log4j1/commits/b933fe460d64ccfc027b4efee74a5ce1875fe3be] 修复了此漏洞。受影响的 Jira 版本:* 早于 8.13.21 的版本* 8.14.x 到 8.19.x 的所有版本* 版本 8.21.x * 8.22.3 之前的版本 8.22.x Jira 的固定版本:* 高于或等于 8.13.21 的版本 8.13.x* 高于或等于 8.20.9 的版本 8.20.x* 高于或等于 8.22.3 的版本 8.22.x* 高于或等于 9.0.0 的版本 (atlassian-JRASERVER-73885)

请注意,Nessus 尚未测试此问题,而是只依据应用程序自我报告的版本号进行判断。

解决方案

升级到 Atlassian Jira 版本 8.13.21、8.20.9、8.22.3、9.0.0 或更高版本。

另见

https://jira.atlassian.com/browse/JRASERVER-73885

插件详情

严重性: Critical

ID: 162398

文件名: jira_9_0_0_jraserver-73885.nasl

版本: 1.3

类型: combined

代理: windows, macosx, unix

系列: CGI abuses

发布时间: 2022/6/18

最近更新时间: 2022/6/19

配置: 启用全面检查

支持的传感器: Nessus Agent, Nessus

风险信息

VPR

风险因素: Medium

分数: 5.9

CVSS v2

风险因素: Medium

基本分数: 6.8

时间分数: 5

矢量: CVSS2#AV:N/AC:M/Au:N/C:P/I:P/A:P

CVSS 分数来源: CVE-2020-9493

CVSS v3

风险因素: Critical

基本分数: 9.8

时间分数: 8.5

矢量: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

时间矢量: CVSS:3.0/E:U/RL:O/RC:C

漏洞信息

CPE: cpe:/a:atlassian:jira

必需的 KB 项: installed_sw/Atlassian JIRA

易利用性: No known exploits are available

补丁发布日期: 2022/6/6

漏洞发布日期: 2022/6/6

参考资料信息

CVE: CVE-2020-9493