行业新闻

漏洞复现 | Atlassian Jira身份验证绕过漏洞

漏洞复现 | Atlassian Jira身份验证绕过漏洞

0x01

漏洞状态

漏洞细节

漏洞POC

漏洞EXP

在野利用

已公开

可提供

未知

未知

360漏洞云已成功复现Atlassian Jira身份验证绕过漏洞(CVE-2022-0540),并可提供此漏洞漏洞POC,360漏洞云情报用户可在漏洞云情报平台(https://loudongyun.360.cn/)下载使用。

0x02

漏洞描述

Atlassian Jira是澳大利亚Atlassian公司的一套缺陷跟踪管理系统。该系统主要用于对工作中各类问题、缺陷进行跟踪管理。

2022年4月20日,Atlassian 发布安全公告,修复了一个Atlassian Jira和Jira Service Management中的身份验证绕过漏洞。漏洞编号:CVE-2022-0540,漏洞威胁等级:高危,漏洞评分:8.5。

Jira 和 Jira Service Management身份验证绕过漏洞

Jira 和 Jira Service Management身份验证绕过漏洞

漏洞编号

CVE-2022-0540

漏洞类型

身份验证绕过

漏洞等级

高危(8.5)

公开状态

未知

在野利用

未知

漏洞描述

Jira 和 Jira Service Management在其web认证框架Jira Seraph中存在身份验证绕过漏洞,可在未经身份验证的情况下通过发送特制的 HTTP 请求,绕过使用受影响配置的WebWork操作中的认证和授权要求。

2022年5月18日,360漏洞云安全专家已复现上述漏洞,演示如下:

CVE-2022-0540

完整POC代码已在360漏洞云情报平台(https://loudongyun.360.cn/)发布,360漏洞云情报平台用户可通过平台下载进行安全自检。

0x03

漏洞等级

高危(8.5)

0x04

影响版本

Jira

Jira所有版本 < 8.13.18

Jira 8.14.x、8.15.x、8.16.x、8.17.x、8.18.x、8.19.x

Jira 8.20.x < 8.20.6

Jira 8.21.x

Jira Service Management:

Jira Service Management所有版本 < 4.13.18

Jira Service Management 4.14.x、4.15.x、4.16.x、4.17.x、4.18.x、4.19.x

Jira Service Management 4.20.x < 4.20.6

Jira Service Management 4.21.x

0x05

修复建议

厂商已发布补丁修复漏洞,用户请尽快更新至安全版本:

Jira:

- 8.13.x >= 8.13.18

- 8.20.x >= 8.20.6

- Jira所有版本 >= 8.22.0

Jira Service Management:

- 4.13.x >= 4.13.18

- 4.20.x >= 4.20.6

- Jira Service Management所有版本 >= 4.22.0

与此同时,请做好资产自查以及预防工作,以免遭受黑客攻击。

关闭