近日，Atlassian官方发布安全通告，披露了 Jira 数据中心、Jira 核心数据中心、Jira 软件数据中心和 Jira 服务管理数据中心（在 4.14 之前称为 Jira 服务台）的 6.3.0 版中引入的严重安全漏洞。攻击者无需身份认证，通过网络构造恶意请求，即可在 Jira 中执行任意代码。

漏洞描述

Atlassian JIRA是 Atlassian公司出品的项目与事务跟踪工具，被广泛应用于缺陷跟踪、客户服务、需求收集、流程审批、任务跟踪、项目跟踪和敏捷管理等工作领域。

CVE-2020-36239

Jira 数据中心、Jira 核心数据中心、Jira 软件数据中心和 Jira 服务管理数据中心暴露了一个 Ehcache RMI 网络服务，攻击者可以在端口 40001 和潜在的 40011 上连接到该服务，由于缺少身份验证漏洞，可以通过反序列化在 Jira 中执行他们选择的任意代码。

CVE 编号

CVE-2020-36239

FOFA 查询

app="ATLASSIAN-JIRA"

影响范围

影响版本

Jira Data Center, Jira Core Data Center, and Jira Software Data Center:
6.3.0 <= version < 8.5.16
8.6.0 <= version < 8.13.8
8.14.0 <= version < 8.17.0

Jira Service Management Data Center:
2.0.2 <= version < 4.5.16
4.6.0 <= version < 4.13.8
4.14.0 <= version < 4.17.0

安全版本

Jira Data Center, Jira Core Data Center, and Jira Software Data Center:
Version 8.5.16 for 8.5.x LTS
Version 8.13.8 for 8.13.x LTS
Version 8.17.0

Jira Service Management Data Center:
Version 4.5.16 for 4.5.x LTS
Version 4.13.8 for 4.13.x LTS
Version 4.17.0

根据目前FOFA系统最新数据（一年内数据），显示全球范围内（app="ATLASSIAN-JIRA"）共有 128,894 个相关服务对外开放。美国使用数量最多，共有 33,516 个；德国第二，共有 19,947 个；中国第三，共有 16,902 个；法国第四，共有 4,962 个；爱尔兰第五，共有 4,548 个。

全球范围内分布情况如下（仅为分布情况，非漏洞影响情况）

中国大陆地区广东使用数量最多，共有 1,549 个；北京第二，共有 1,119 个；上海第三，共有 999 个；江苏第四，共有 605 个；浙江第五，共有 515 个。

Vulfocus

暂无。

修复建议

及时升级到最新安全版本，并限制 Ehcache RMI 端口的访问。（可参考：https://confluence.atlassian.com/adminjiraserver/jira-data-center-and-jira-service-management-data-center-security-advisory-2021-07-21-1063571388.html）。

Jira Core Server: https://www.atlassian.com/software/jira/core/download
Jira Software Data Center: https://www.atlassian.com/software/jira/update
Jira Service Management Data Center: https://www.atlassian.com/software/jira/service-management/update

参考

[1] https://confluence.atlassian.com/adminjiraserver/jira-data-center-and-jira-service-management-data-center-security-advisory-2021-07-21-1063571388.html

[2] https://s.tencent.com/research/report/88

白帽汇从事信息安全，专注于安全大数据、企业威胁情报。

公司产品：FOFA-网络空间安全搜索引擎、FOEYE-网络空间检索系统、NOSEC-安全讯息平台。

为您提供：网络空间测绘、企业资产收集、企业威胁情报、应急响应服务。