【漏洞通告】Jira Data Center等远程代码执行漏洞（CVE-2020-36239）

2021年7月22日，阿里云应急响应中心监测到Atlassian官方发布公告，披露了CVE-2020-36239 Jira Data Center等远程代码执行漏洞。

01

漏洞描述

Atlassian JIRA是Atlassian公司出品的项目与事务跟踪工具，被广泛应用于缺陷跟踪、客户服务、需求收集、流程审批、任务跟踪、项目跟踪和敏捷管理等工作领域。2021年7月21日Atlassian官方发布公告，披露了CVE-2020-36239 Jira Data Center等远程代码执行漏洞。Jira Data Center、Jira Service Management Data Center等产品在40001等默认端口开放了Ehcache RMI服务，攻击者可在无需认证的情况下构造恶意请求，利用该RMI端口触发反序列化漏洞，造成远程代码执行。漏洞仅影响Jira Data Center系列与Jira Service Management Data Center系列，非 Data Center产品不受漏洞影响。阿里云应急响应中心提醒 Atlassian JIRA 用户尽快采取安全措施阻止漏洞攻击。

02

漏洞评级

CVE-2020-36239 Jira Data Center等远程代码执行漏洞 高危

漏洞细节	漏洞PoC	漏洞EXP	在野利用
未公开	未公开	未公开	未知

03
0

影响版本

Jira Data Center, Jira Core Data Center, Jira Software Data Center >= 6.3.0 且 < 8.5.16
Jira Data Center, Jira Core Data Center, Jira Software Data Center >= 8.6.0 且 < 8.13.8
Jira Data Center, Jira Core Data Center, Jira Software Data Center >= 8.14.0 且 < 8.17.0

Jira Service Management Data Center >= 2.0.2 且 < 4.5.16
Jira Service Management Data Center >= 4.6.0 且 < 4.13.8
Jira Service Management Data Center >= 4.14.0 且 < 4.17.0

04

安全版本

Jira Data Center, Jira Core Data Center, Jira Software Data Center 8.5.16
Jira Data Center, Jira Core Data Center, Jira Software Data Center 8.13.8
Jira Data Center, Jira Core Data Center, Jira Software Data Center 8.17.0

Jira Service Management Data Center 4.5.16
Jira Service Management Data Center 4.13.8
Jira Service Management Data Center 4.17.0

05

安全建议

1、根据影响及其安全版本排查并升级到安全版本。
2、若暂无法升级，可利用阿里云安全组功能设置 Ehcache RMI 端口仅对可信地址开放。

对 Jira Data Center, Jira Core Data Center, Jira Software Data Center系列产品
当版本大于等于 7.13.1 时，其Ehcache RMI 端口默认为 40001、40011，当版本小于等于 7.13.0时，其Ehcache RMI 端口默认为 40001、40011、以及1024-65536中的某个端口。

对于 Jira Service Management Data Center 系列产品，当版本大于等于3.16.1时，其Ehcache RMI 端口默认为 40001、40011。当版本小于等于 3.16.0时，其Ehcache RMI 端口默认为 40001、40011、以及1024-65536中的某个端口。

06

相关链接

https://confluence.atlassian.com/adminjiraserver/jira-data-center-and-jira-service-management-data-center-security-advisory-2021-07-21-1063571388.html

        

本文始发于微信公众号（阿里云应急响应）：【漏洞通告】Jira Data Center等远程代码执行漏洞（CVE-2020-36239）