检测

Atlassian Jira Service Management 5.3.0 < 5.3.3 关键身份验证漏洞

critical Web App Scanning 插件 ID 113889

语言：

简介

Atlassian Jira Service Management 5.3.0 < 5.3.3 关键身份验证漏洞

描述

根据其自我报告的版本号，远程主机上运行的 Atlassian Jira Service Management 应用程序版本为低于 5.3.3 的 5.3.0 版、低于 5.4.2 的 5.4.0 版或低于 5.3.3 的 5.5.0 版。因而受到一个关键身份验证漏洞的影响，攻击者可利用此漏洞，冒充其他用户并在某些情况下获得访问权限。通过在 Jira Service Management 实例上启用对用户目录和出站电子邮件的写入权限，攻击者可以获取对发送给具有从未登录的帐户的用户之注册标记的访问权限。如果攻击者被包含在这些用户的 Jira 问题或请求中，亦或者，如果攻击者被转发或以其他方式获得对这些用户的包含“查看请求”链接之电子邮件的访问权限。

请注意，扫描程序并未测试这些问题，而是仅依据应用程序自我报告的版本号进行判断。

解决方案

升级到 Atlassian Jira Service Management 版本 5.3.3 或更高版本。

另见

https://jira.atlassian.com/browse/JSDSERVER-12312

插件详情

严重性: Critical

ID: 113889

类型: remote

发布时间: 2023/5/3

最近更新时间: 2023/5/3

扫描模板: api, basic, full, pci, scan

风险信息

VPR

风险因素: Medium

分数: 5.2

CVSS v2

风险因素: High

基本分数: 9.4

矢量: CVSS2#AV:N/AC:L/Au:N/C:C/I:C/A:N

CVSS 分数来源: CVE-2023-22501

CVSS v3

风险因素: Critical

基本分数: 9.1

矢量: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N

CVSS 分数来源: CVE-2023-22501

漏洞信息

CPE: cpe:2.3:a:atlassian:jira_service_management:*:*:*:*:*:*:*:*

易利用性: No known exploits are available

补丁发布日期: 2023/2/1

漏洞发布日期: 2023/1/11

参考资料信息

CVE: CVE-2023-22501