【漏洞通告】Jira Data Center等遠程代碼執行漏洞（CVE-2020-36239）
2021年7月22日，阿里云應急響應中心監測到Atlassian官方發布公告，披露了CVE-2020-36239 Jira Data Center等遠程代碼執行漏洞。
01.漏洞描述
Atlassian JIRA是Atlassian公司出品的項目與事務跟蹤工具，被廣泛應用于缺陷跟蹤、客戶服務、需求收集、流程審批、任務跟蹤、項目跟蹤和敏捷管理等工作領域。2021年7月21日Atlassian官方發布公告，披露了CVE-2020-36239 Jira Data Center等遠程代碼執行漏洞。Jira Data Center、Jira Service Management Data Center等產品在40001等默認端口開放了Ehcache RMI服務，攻擊者可在無需認證的情況下構造惡意請求，利用該RMI端口觸發反序列化漏洞，造成遠程代碼執行。漏洞僅影響Jira Data Center系列與Jira Service Management Data Center系列，非 Data Center產品不受漏洞影響。阿里云應急響應中心提醒 Atlassian JIRA 用戶盡快采取安全措施阻止漏洞攻擊。
02.漏洞評級
CVE-2020-36239 Jira Data Center等遠程代碼執行漏洞 高危
03.影響版本
Jira Data Center, Jira Core Data Center, Jira Software Data Center >= 6.3.0 且 < 8.5.16
Jira Data Center, Jira Core Data Center, Jira Software Data Center >= 8.6.0 且 < 8.13.8
Jira Data Center, Jira Core Data Center, Jira Software Data Center >= 8.14.0 且 < 8.17.0
Jira Service Management Data Center >= 2.0.2 且 < 4.5.16
Jira Service Management Data Center >= 4.6.0 且 < 4.13.8
Jira Service Management Data Center >= 4.14.0 且 < 4.17.0
04.安全版本
Jira Data Center, Jira Core Data Center, Jira Software Data Center 8.5.16
Jira Data Center, Jira Core Data Center, Jira Software Data Center 8.13.8
Jira Data Center, Jira Core Data Center, Jira Software Data Center 8.17.0
Jira Service Management Data Center 4.5.16
Jira Service Management Data Center 4.13.8
Jira Service Management Data Center 4.17.0
05.安全建議
1、根據影響及其安全版本排查并升級到安全版本。
2、若暫無法升級，可利用阿里云安全組功能設置 Ehcache RMI 端口僅對可信地址開放。
對 Jira Data Center, Jira Core Data Center, Jira Software Data Center系列產品
當版本大于等于 7.13.1 時，其Ehcache RMI 端口默認為 40001、40011，當版本小于等于 7.13.0時，其Ehcache RMI 端口默認為 40001、40011、以及1024-65536中的某個端口。
對于 Jira Service Management Data Center 系列產品，當版本大于等于3.16.1時，其Ehcache RMI 端口默認為 40001、40011。當版本小于等于 3.16.0時，其Ehcache RMI 端口默認為 40001、40011、以及1024-65536中的某個端口。
06.相關鏈接
https://confluence.atlassian.com/adminjiraserver/jira-data-center-and-jira-service-management-data-center-security-advisory-2021-07-21-1063571388.html
