Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

Vulnerabilidad en Atlassian Jira (CVE-2018-13404)

Gravedad CVSS v3.1:
MEDIA
Tipo:
CWE-918 Falsificación de solicitud en servidor (SSRF)
Fecha de publicación:
13/02/2019
Última modificación:
25/03/2022

Descripción

El recurso VerifyPopServerConnection en Atlassian Jira, en versiones anteriores a la 7.6.10, desde la versión 7.7.0 antes de la 7.7.5, desde la versión 7.8.0 antes de la 7.8.5, desde la versión 7.9.0 antes de la 7.9.3, desde la versión 7.10.0 antes de la 7.10.3, desde la versión 7.11.0 antes de la 7.11.3, desde la versión 7.12.0 antes de la 7.12.3 y desde la versión 7.13.0 antes de la 7.13.1, permite que los atacantes remotos con derechos de administrador determinen la existencia de puertos abiertos en los hosts internos y, en algunos casos, obtengan información sensible de los recursos de la red interna mediante una vulnerabilidad Server-Side Request Forgery (SSRF).

Productos y versiones vulnerables

CPE Desde Hasta
cpe:2.3:a:atlassian:jira:*:*:*:*:*:*:*:* 7.6.10 (excluyendo)
cpe:2.3:a:atlassian:jira_server:*:*:*:*:*:*:*:* 7.7.0 (incluyendo) 7.7.5 (excluyendo)
cpe:2.3:a:atlassian:jira_server:*:*:*:*:*:*:*:* 7.8.0 (incluyendo) 7.8.4 (incluyendo)
cpe:2.3:a:atlassian:jira_server:*:*:*:*:*:*:*:* 7.9.0 (incluyendo) 7.9.2 (incluyendo)
cpe:2.3:a:atlassian:jira_server:*:*:*:*:*:*:*:* 7.10.0 (incluyendo) 7.10.2 (incluyendo)
cpe:2.3:a:atlassian:jira_server:*:*:*:*:*:*:*:* 7.11.0 (incluyendo) 7.11.3 (excluyendo)
cpe:2.3:a:atlassian:jira_server:*:*:*:*:*:*:*:* 7.12.0 (incluyendo) 7.12.3 (excluyendo)
cpe:2.3:a:atlassian:jira_server:*:*:*:*:*:*:*:* 7.13.0 (incluyendo) 7.13.1 (excluyendo)


Referencias a soluciones, herramientas e información