CVE-2019-11581criticalbajo ataqueCWE-74

CVE-2019-11581: fallo crítico en Atlassian Jira Server and Data Center

Publicada el · Actualizada el

Seguir esta CVE+ Monitorear Jira Server and Data Center

Aviso por correo cuando entre en el KEV, tenga PoC pública o suba de nota.

100Vexday Risk Score

Corrige ahora. Ella está bajo explotación confirmada por CISA y tiene exploit funcional público.

ssvc Actcvss 9.8epss 85%
de la publicación al armael mismo día
Publicada en NVD9 ago
1ª PoC16 jul
CISA KEV+941d
Acción exigida por CISAplazo federal: 2022-09-07

Apply updates per vendor instructions.

En resumen

Una falla en Jira Server y Data Center permite a los atacantes inyectar código malicioso a través de funciones de correo electrónico, lo que resulta en ejecución remota de código en el servidor afectado. Esto es crítico porque le da al atacante control total del sistema sin necesidad de credenciales válidas.

Detalle técnico

Vulnerabilidad de inyección de templates del lado del servidor (SSTI) en las acciones ContactAdministrators y SendBulkMail permite ejecución remota de código sin autenticación. El vector de ataque implica enviar entrada especialmente elaborada a los mecanismos de renderización de templates; la explotación exitosa otorga ejecución de código arbitrario con los privilegios del proceso Jira.

Resumen generado y traducido por IA a partir de la descripción oficial.

El análisis completo de esta CVE está disponible en portugués →

There was a server-side template injection vulnerability in Jira Server and Data Center, in the ContactAdministrators and the SendBulkMail actions. An attacker is able to remotely execute code on systems that run a vulnerable version of Jira Server or Data Center. All versions of Jira Server and Data Center from 4.4.0 before 7.6.14, from 7.7.0 before 7.13.5, from 8.0.0 before 8.0.3, from 8.1.0 before 8.1.2, and from 8.2.0 before 8.2.3 are affected by this vulnerability.
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Productos afectados
Atlassian · Jira Server and Data Center
⚠ Recursos públicos, para evaluar la exposición de sistemas que controlas o estás autorizado a probar. Prueba solo con autorización.
CVEs relacionadas — Atlassian Jira Server and Data Center

En el mismo producto, de las más peligrosas a las menos.

CVE-2020-14167—CVE-2020-14167EPSS 2.1%CVE-2020-14168—CVE-2020-14168EPSS 1.7%CVE-2020-4029—CVE-2020-4029EPSS 1.6%CVE-2019-20105—CVE-2019-20105EPSS 1.5%CVE-2019-20106—CVE-2019-20106EPSS 1.1%CVE-2020-4022—CVE-2020-4022EPSS 1.1%