CVE-2019-3403
— 神龙十问 AI 深度分析摘要
本页是神龙十问 AI 深度分析的
摘要版。完整版（更长回答、追问、相关漏洞）需
登录查看 →
Q1这个漏洞是什么？（本质+后果）
🚨 **本质**：Jira 的 REST API 接口存在**授权检查错误**。
💥 **后果**：攻击者无需权限即可**枚举用户名称**，泄露内部人员信息。
Q2根本原因？（CWE/缺陷点）
🔍 **CWE**：CWE-863（不正确的授权）。
📍 **缺陷点**：`/rest/api/2/user/picker` 接口未正确校验访问权限。
Q3影响谁？（版本/组件）
🏢 **厂商**：Atlassian。
📦 **产品**：Jira。
📅 **受影响版本**：
- 7.13.3 之前
- 8.0.0 ~ 8.0.4 之前
- 8.1.0 ~ 8.1.1 之前
Q4黑客能干啥？（权限/数据）
🕵️ **黑客能力**：
- **枚举用户名**：批量获取系统内所有注册用户。
- **信息收集**：为后续暴力破解或社会工程学攻击提供目标列表。
- **无权限访问**：无需登录即可获取数据。
Q5利用门槛高吗？（认证/配置）
📉 **门槛**：**极低**。
✅ **认证**：**无需认证**（匿名访问）。
⚙️ **配置**：默认配置下即可利用，无需特殊权限。
Q6有现成Exp吗？（PoC/在野利用）
💻 **Exp 状态**：**有现成 PoC**。
🔗 **资源**：
- GitHub 上有 Python 脚本可直接爬取用户。
- Nuclei 模板已收录，可自动化扫描。
- 存在自动化枚举工具集。
Q7怎么自查？（特征/扫描）
🔎 **自查方法**：
1. **访问接口**：尝试访问 `/rest/api/2/user/picker?query=admin`。
2. **观察响应**：若返回用户列表而非 403/401 错误，则存在漏洞。
3. **工具扫描**：使用 Nuclei 模板 `CVE-2019-3403.yaml` 批量检测。
Q8官方修了吗？（补丁/缓解）
🛡️ **官方修复**：**已修复**。
📝 **建议**：升级至 **7.13.3**、**8.0.4** 或 **8.1.1** 及以上版本。
📌 **参考**：Atlassian 官方公告 JRASERVER-69242。
Q9没补丁咋办？（临时规避）
🚧 **临时规避**：
- **WAF 防护**：拦截对 `/rest/api/2/user/picker` 的异常请求。
- **网络隔离**：限制 Jira 管理接口对公网的访问。
- **权限收紧**：确保该接口仅对授权管理员开放（若配置允许）。
Q10急不急？（优先级建议）
⚡ **优先级**：**高**。
📢 **理由**：
- 无需认证即可利用。
- 攻击工具成熟，自动化程度高。
- 用户枚举是攻击链的第一步，极易引发后续风险。
👉 **行动**：立即升级或实施网络层防护。