奇安信CERT
致力於第一時間為企業級用戶提供安全風險通告和有效解決方案。
安全通告
漏洞名稱
Atlassian Jira 多款產品 Mobile Plugin 服務端請求偽造漏洞
公開時間
2022-06-26
更新時間
2022-07-06
CVE編號
CVE-2022-26135
其他編號
QVD-2022-10217
威脅類型
信息泄露
技術類型
服務端請求偽造
廠商
Atlassian
產品
Jira Server
風險等級
奇安信CERT風險評級
風險等級
高危
藍色（一般事件）
現時威脅狀態
POC狀態
EXP狀態
在野利用狀態
技術細節狀態
已發現
已發現
未發現
已公開
漏洞描述
Atlassian Jira 多款產品 Mobile Plugin中存在服務端請求偽造漏洞(SSRF)，經過身份驗證的遠程攻擊者可通過向Jira Core REST API發送特製請求，從而偽造服務端發起請求，從而導致敏感信息泄露，同時為下一步攻擊利用提供條件。需注意的是，若服務端開啟註冊功能，則未授權用戶可通過註冊獲取權限進而利用。
影響版本
Jira Core Server/Jira Software Server/Jira Software Data Center:
8.0 < 8.13.22
8.14.x
8.15.x
8.16.x
8.17.x
8.18.x
8.19.x
8.20.x < 8.20.10
8.21.x
8.22.x < 8.22.4
Jira Service Management Server/Data Center:
4.0 < 4.13.22
4.14.x
4.15.x
4.16.x
4.17.x
4.18.x
4.19.x
4.20.x < 4.20.10
4.21.x
4.22.x < 4.22.4
不受影響版本
Jira Core Server/Jira Software Server/Jira Software Data Center:
8.13.x >= 8.13.22
8.20.x >= 8.20.10
8.22.x >= 8.22.4
9.0.0
Jira Service Management Server and Data Center:
4.13.x >= 4.13.22
4.20.x >= 4.20.10
4.22.x >= 4.22.4
5.0.0
其他受影響組件
無
威脅評估
漏洞名稱
Atlassian Jira多款產品Mobile Plugin服務端請求偽造漏洞
CVE編號
CVE-2022-26135
其他編號
QVD-2022-10217
CVSS 3.1評級
高危
CVSS 3.1分數
8.5
CVSS向量
訪問途徑（AV）
攻擊複雜度（AC）
網絡
低
所需權限（PR）
用戶交互（UI）
低權限
不需要
影響範圍（S）
機密性影響（C）
改變
高
完整性影響（I）
可用性影響（A）
低
無
危害描述
經過身份驗證的遠程攻擊者可通過Jira Core REST API偽造服務端發送特製請求，從而導致服務端敏感信息泄露，同時為下一步攻擊利用提供條件。
處置建議
1. 升級到最新版本:
Jira Core Server、Jira Software Server 和 Jira Software Data Center 可升級至：
8.13.22
8.20.10
8.22.4
9.0.0
Jira Service Management Server 和Data Center可升級至：
4.13.22
4.20.10
4.22.4
5.0.0
2. 緩解措施:
(1) 關閉用戶註冊功能
(2) 禁用Mobile Plugin
(3) 升級Mobile Plugin至最新版本
更多詳情請參見：
https://confluence.atlassian.com/jira/jira-server-security-advisory-29nd-june-2022-1142430667.html
產品解決方案
奇安信網站應用安全雲防護系統已更新防護特徵庫
奇安信網神網站應用安全雲防護系統已全面支持對Jira多個產品服務端請求偽造漏洞(CVE-2022-26135)的防護。
奇安信天眼產品解決方案
奇安信天眼新一代威脅感知系統在第一時間加入了該漏洞的檢測規則，請將規則包升級到3.0.0706.13422上版本。規則名稱：Atlassian Jira多個產品服務端請求偽造漏洞(CVE-2022-26135)，規則ID：0x10020FC7。奇安信天眼流量探針（傳感器）升級方法：系統配置->設備升級->規則升級，選擇「網絡升級」或「本地升級」。
參考資料
[1]https://confluence.atlassian.com/jira/jira-server-security-advisory-29nd-june-2022-1142430667.html
時間線
2022年7月6日，奇安信 CERT發布安全風險通告。
到奇安信NOX-安全監測平台查詢更多漏洞詳情
留言列表