취약점) CVE-2019–11581 Jira 원격 코드 실행 취약점

취약점코드

CVE-2019–11581

 

Vendor

Atlassian Jira Software

 

영향받는 버전

4.4.x
5.x.x
6.x.x
7.0.x, 7.1.x, 7.2.x, 7.3.x, 7.4.x, 7.5.x
7.6.x before 7.6.14 (the fixed version for 7.6.x)
7.7.x, 7.8.x, 7.9.x, 7.10.x, 7.11.x, 7.12.x
7.13.x before 7.13.5 (the fixed version for 7.13.x)
8.0.x before 8.0.3 (the fixed version for 8.0.x)
8.1.x before 8.1.2 (the fixed version for 8.1.x)
8.2.x before 8.2.3 (the fixed version for 8.2.x)

 

취약점 설명

Jira software는 일반 프로젝트 부터 소프트웨어 개발 프로젝트까지 다양한 유형의 프로젝트를  관리할 수 있으며, Agile 소프트웨어 개발 방법론을 지원합니다. 또한 스프린트 계획, 칸반 보드, 버전 관리, 릴리즈 관리를 수행할 수 있다.

 

Jira 서버 및 데이터 센터의 ContactAdministrator 및 SendBulkMail 기능에서 발생하는 템플릿 삽입 취약점

Contact Administrators에서 발생하는 취약점은 공격자가 인증 없이 공격을 수행할 수 있으나 SendBulkMail의 경우 공격을 위해서는 관리자 권한이 필요

 

* 취약점이 발현되기 위해서는 아래의 두가지 조건 중 하나를 만족해야 함

- Jira에 SMTP 서버가 설정되어 있고 ContactAdministrators 폼이 활성화되어 있는 상태

- Jira에 SMTP 서버가 설정되어 있고 공격자가 ‘JIRA Administrators’에 접근이 가능한 상태

 

취약점 조치방안

- 조치 방안 : 취약한 버전에 대한 패치 필요 (7.6.14, 7.13.5, 8.0.3, 8.1.2, 8.2.)
- 임시 조치 : 
      1) Contact Administrator Form 설정 – Disable
         * 설정 > 시스템 > 일반 설정 > 설정 변경 > Contact Administrator From 설정 Off 
      2) /secure/admin/SendBulkMail!default.jspa 접근 제한 (사용자에게 Bulk Mail 발송 제한)

 

참고사이트

https://www.krcert.or.kr/data/secNoticeView.do?bulletin_writing_sequence=35126

KISA 인터넷 보호나라&KrCERT