PT-2020-10425 · Atlassian · Jira

Publicado 2020-07-01 · Atualizado 2020-07-08 · CVE-2019-20408

Positive Technologies (AI Summary) · Pt

CVSS v3.1

5.3

Média

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N

Nome do software vulnerável e versões afetadas

Versões do Jira anteriores à 8.7.0

Descrição

A vulnerabilidade permite que invasores remotos acessem o conteúdo de recursos da rede interna por meio de uma vulnerabilidade de falsificação de solicitação do lado do servidor (SSRF), causada por um erro de lógica na classe JiraWhitelist. Isso está relacionado ao recurso /plugins/servlet/gadgets/makeRequest.

Recomendações

Para versões anteriores à 8.7.0, atualize para a versão 8.7.0 ou posterior para resolver o problema. Como solução temporária, considere restringir o acesso ao recurso /plugins/servlet/gadgets/makeRequest até que um patch seja aplicado.

Correção

SSRF

Enumeração de Fraquezas

CWE-918

Identificadores relacionados

CVE-2019-20408

Produtos afetados

Jira

Referências · 6

• https://osv.dev/vulnerability/CVE-2019-20408 · Aviso do Fabricante
• https://t.me/cibsecurity/13157 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2019-20408 · Nota de Segurança
• https://t.me/cibsecurity/13185 · Publicação no Telegram
• https://t.me/cibsecurity/13167 · Publicação no Telegram
• https://jira.atlassian.com/browse/JRASERVER-71204 · Aviso do Fabricante