■ 漏洞描述
Atlassian公开了一个Jira未授权SSRF漏洞。Jira的/plugins/servlet/gadgets/makeRequest资源存在SSRF漏洞，原因在于JiraWhitelist这个类的逻辑缺陷，成功利用此漏洞的远程攻击者可以以Jira服务端的身份访问内网资源。此漏洞无需任何凭据即可触发。

 
■ 影响范围
版本小于8.4.0

 
■ 漏洞检测
检测方法：
1、查看当前使用版本
2、访问url：http://localhost:8080/plugins/servlet/gadgets/makeRequest?url=http://localhost:8080@www.baidu.com
3、header中添加X-Atlassian-Token: no-check
 
■ 漏洞修复
目前厂商已发布升级补丁以修复漏洞，补丁获取链接：
https://jira.atlassian.com/browse/JRASERVER-69793

 
■ 缓解措施
在waf或者网关处禁止访问url：/plugins/servlet/gadgets/makeRequest?url=

 
■ 漏洞详情
https://jira.atlassian.com/browse/JRASERVER-69793