Atlassian JIRA服务器模板注入漏洞（CVE-2019-11581）

---

一、漏洞原理

Atlassian Jira是企业广泛使用的项目与事务跟踪工具，被广泛应用于缺陷跟踪、客户服务、需求收集、流程审批、任务跟踪、项目跟踪和敏捷管理等工作领域。
因atlassian-jira/WEB-INF/classes/com/atlassian/jira/web/action/user/ContactAdministrators 未对Subject（邮件主题）处进行过滤，用户传入的邮件主题被当作template（模板）指令执行。在任何一种情况下，成功利用此漏洞的攻击者都可在运行受影响版本的Jira Server或Jira Data Center的系统上执行任意命令，从而获取服务器权限，严重危害网络资产。

二、漏洞风险等级

【高危】

三、漏洞影响范围

AtlassianJira 4.4.x
AtlassianJira 5.x.x
AtlassianJira 6.x.x
AtlassianJira 7.0.x
AtlassianJira 7.1.x
AtlassianJira 7.2.x
AtlassianJira 7.3.x
AtlassianJira 7.4.x
AtlassianJira 7.5.x
AtlassianJira 7.6.x < 7.6.14
AtlassianJira 7.7.x
AtlassianJira 7.8.x
AtlassianJira 7.9.x
AtlassianJira 7.10.x
AtlassianJira 7.11.x
AtlassianJira 7.12.x
AtlassianJira 7.13.x < 7.13.5
AtlassianJira 8.0.x < 8.0.3
AtlassianJira 8.1.x < 8.1.2
AtlassianJira 8.2.x < 8.2.3

四、实验环境

4.1靶机：

4.1.1、系统：ubuntu
4.1.2、Jira版本：Jira Server 8.1.0
4.1.3、IP：192.168.22.136
4.1.4、环境配置：
①访问http://127.0.0.1:8080会进入安装引导，切换“中文”，VPS条件下选择“将其设置为我”（第一项）去Atlassian官方申请一个Jira Server的测试证书（不要选择Data Center和Addons）：
②添加SMTP电邮服务
http://127.0.0.1/secure/admin/AddSmtpMailServer!default.jspa
③进行系统设置，访问：
http://127.0.0.1:8080/secure/admin/EditApplicationProperties!default.jspa
只有在有项目的情况下，才能成功漏洞复现，所以需新建一个项目

4.2攻击机：

系统：win10
IP：192.168.22.xx

五、漏洞复现

5.1、漏洞利用前提条件
第一种：Jira已配置好SMTP服务器，且需开启“联系网站管理员表单”功能。（从WEB界面设计上看，实际上如果没配置SMTP服务器，无法开启此功能。）
http://靶机 ip:8080/secure/ContactAdministrators!default.jspa
第二种：利用场景前提是拿到Jira管理员的权限，利用条件较难满足，这里主要分析第一种情况。
http://靶机 ip:8080/secure/admin/SendBulkMail!default.jspa
出现如上运行版本号说明存在漏洞

5.2、未登录状态下触发漏洞
http://靶机 ip:8080/secure/ContactAdministrators!default.jspa
在主题处加入payload，点击发送
【$i18n.getClass().forName(‘java.lang.Runtime’).getMethod(‘getRuntime’, null).invoke(null, null).exec(‘touch /tmp/cj’).toString()】
5.3、验证是否发送成功

六、漏洞修复方案

6.1临时处置建议
若无法及时升级Jira，可采取以下缓解措施：
①禁止访问http://ip:port/secure/ContactAdministrators!default.jspa
②关闭联系网站管理员表单功能，具体步骤如下:
设置 => 系统 => 编辑设置 => 联系管理员表单处选择“关”，然后点击最下面的“更新”保存设置。
6.2处置建议
①升级到不受漏洞影响的版本。
②对http://ip:port/secure/admin/SendBulkMail!default.jspa限制访问的源ip