■ 漏洞描述
近日，Atlassian官方发布安全通告，披露了 Jira 数据中心、Jira 核心数据中心、Jira 软件数据中心和 Jira 服务管理数据中心（在 4.14 之前称为 Jira 服务台）的 6.3.0 版中引入的严重安全漏洞。攻击者无需身份认证，通过网络构造恶意请求，即可在 Jira 中执行任意代码。
 
■ 影响范围
影响版本
Jira Data Center, Jira Core Data Center, and Jira Software Data Center:
6.3.0 <= version < 8.5.16
8.6.0 <= version < 8.13.8
8.14.0 <= version < 8.17.0

Jira Service Management Data Center:
2.0.2 <= version < 4.5.16
4.6.0 <= version < 4.13.8
4.14.0 <= version < 4.17.0
 
■ 漏洞检测
匹配版本
 
■ 漏洞修复
及时升级到最新安全版本，并限制 Ehcache RMI 端口的访问。
（可参考：https://confluence.atlassian.com/adminjiraserver/jira-data-center-and-jira-service-management-data-center-security-advisory-2021-07-21-1063571388.html）。

Jira Core Server: https://www.atlassian.com/software/jira/core/download
Jira Software Data Center: https://www.atlassian.com/software/jira/update
Jira Service Management Data Center: https://www.atlassian.com/software/jira/service-management/update
 
■ 临时修复
加入WAF防护
 
■ 漏洞详情
Atlassian JIRA是 Atlassian公司出品的项目与事务跟踪工具，被广泛应用于缺陷跟踪、客户服务、需求收集、流程审批、任务跟踪、项目跟踪和敏捷管理等工作领域。
CVE-2020-36239
Jira 数据中心、Jira 核心数据中心、Jira 软件数据中心和 Jira 服务管理数据中心暴露了一个 Ehcache RMI 网络服务，攻击者可以在端口 40001 和潜在的 40011 上连接到该服务，由于缺少身份验证漏洞，可以通过反序列化在 Jira 中执行他们选择的任意代码。