Atlassian JIRA < 6.0.5 多個弱點
medium Nessus Plugin ID 73273
語系：
概要
遠端網頁伺服器託管一個可能受多個弱點影響的網路應用程式。說明
根據其自我報告的版本號碼，遠端 Web 伺服器上託管的 Atlassian JIRA 版本比 6.0.5 舊。因此可能受到多個弱點影響：- 管理面板中存在一個跨網站指令碼弱點，這是因為在 deleteuserconfirm.jsp 檔案中並未清理使用者對 ‘name’ 參數提供的輸入所導致。
遠端攻擊者可惡意利用此弱點，透過特製的要求，在使用者的瀏覽器中執行任意指令碼。(CVE-2013-5319)
- Importers 外掛程式中存在一個瑕疵，這是因為不當清理使用者提供的輸入所導致，進而允許在受限路徑外遊走。使用特製要求的未經驗證遠端攻擊者可惡意利用此弱點，在 JIRA 安裝的任意目錄中建立檔案。此弱點僅會影響 Windows 作業系統上執行的 JIRA。
(CVE-2014-2313)
請注意，適用於 JIRA 的 Importers 外掛程式也會受到此弱點影響，但 Nessus 尚未確認是否已安裝此外掛程式。
解決方案
升級至 JIRA 6.0.5 版或更新版本，並升級或停用 Importers 外掛程式。另請參閱
http://www.nessus.org/u?7c962b4a
Plugin 詳細資訊
嚴重性: Medium
ID: 73273
檔案名稱: jira_6_0_5.nasl
版本: 1.8
類型: remote
系列: CGI abuses
已發布: 2014/3/31
已更新: 2022/4/11
組態: 啟用 Paranoid 模式, 啟用徹底檢查
支援的感應器: Nessus
風險資訊
VPR
風險因素: Low
分數: 3.8
CVSS v2
風險因素: Medium
基本分數: 4.3
時間分數: 3.6
媒介: CVSS2#AV:N/AC:M/Au:N/C:N/I:P/A:N
弱點資訊
CPE: cpe:/a:atlassian:jira
必要的 KB 項目: installed_sw/Atlassian JIRA, Settings/ParanoidReport
可被惡意程式利用: true
可輕鬆利用: Exploits are available
修補程式發佈日期: 2014/2/26
弱點發布日期: 2013/8/6
參考資訊
CVE: CVE-2013-5319, CVE-2014-2313