远程主机上安装的 Atlassian Jira 版本低于 8.13.x < 8.13.21 / 8.20.x < 8.20.9 / 8.22.x < 8.22.3 / 9.0.0。因此，该应用程序受到 JRASERVER-73885 公告中提及的一个漏洞的影响。

  - Jira 使用的 {{log4j}} 版本已从 *1.2.7-atlassian-3* 更新到
    *1.2.7-atlassian-16*，目的在于解决以下漏洞：
    [CVE-2021-4104|https://www.cve.org/CVERecord?id=CVE-2021-4104] JMSAppender 容易受到反序列化缺陷的影响。具有更新 Jira 配置特权的本地攻击者可利用此缺陷执行任意代码。Jira 未配置为使用 JMSAppender，Atlassian 也未提供有关将 JMSAppender 与 Jira 配合使用的任何文档。Atlassian [已通过在 Atlassian {{{}log4j{}}} 版本中阻止外部 JNDI 查找|https://bitbucket.org/atlassian/log4j1/pull-requests/9] 修复了此漏洞。[CVE-2020-9493|https://www.cve.org/CVERecord?id=CVE-2020-9493] 和 [CVE-2022-23307|https://www.cve.org/CVERecord?id=CVE-2022-23307] Apache Chainsaw 与 {{log4j}} 1.2.x 绑定，并且容易受到反序列化缺陷的影响。未经身份验证的远程攻击者可利用此漏洞执行任意代码。请注意，Chainsaw 是一种设计用于手动执行的日志查看器。Jira 不需要、默认情况下也不会执行 Chainsaw，且 Atlassian 也不会提供有关将 Chainsaw 与 Jira 配合使用的任何文档。Atlassian [已通过从 Atlassian {{{}log4j{}}} 版本中移除 Chainsaw|https://bitbucket.org/atlassian/log4j1/commits/3a06f7e94efa98331a875532212a3005fd9766d0] 修复了此漏洞。[CVE-2022-23302|https://www.cve.org/CVERecord?id=CVE-2022-23302]JMSSink 容易受到反序列化缺陷的影响。具有更新 Jira 配置特权的本地攻击者可利用此缺陷执行任意代码。Jira 未配置为在默认情况下使用 JMSSink，Atlassian 也未提供有关将 JMSSink 与 Jira 配合使用的任何文档。Atlassian [已通过从 Atlassian {{{}log4j{}}} 版本中移除 JMSSink|https://bitbucket.org/atlassian/log4j1/commits/48b34334e5278dfd52b361b1ec6943ca4c3b997e] 修复了此漏洞。[CVE-2022-23305|https://www.cve.org/CVERecord?id=CVE-2022-23305]在配置为使用消息转换器 ({{{}%m{}}}) 时，JDBCAppender 容易受到 SQL 注入缺陷的影响。未经身份验证的远程攻击者可利用此缺陷来执行任意 SQL 查询。Jira 未配置为在默认情况下使用 JDBCAppender，Atlassian 也未提供有关将 JDBCAppender 与 Jira 配合使用的任何文档。Atlassian [已通过从 Atlassian {{{}log4j{}}} 版本中移除 JDBCAppender|https://bitbucket.org/atlassian/log4j1/commits/b933fe460d64ccfc027b4efee74a5ce1875fe3be] 修复了此漏洞。受影响的 Jira 版本：* 早于 8.13.21 的版本* 8.14.x 到 8.19.x 的所有版本* 版本 8.21.x * 8.22.3 之前的版本 8.22.x Jira 的固定版本：* 高于或等于 8.13.21 的版本 8.13.x* 高于或等于 8.20.9 的版本 8.20.x* 高于或等于 8.22.3 的版本 8.22.x* 高于或等于 9.0.0 的版本 (atlassian-JRASERVER-73885)

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

检测

Atlassian Jira 8.13.x < 8.13.21 / 8.20.x < 8.20.9 / 8.22.x < 8.22.3 / 9.0.0 SQLI (JRASERVER-73885)

critical Nessus 插件 ID 162398

未找到变更日志