Atlassian تصلح ثغرة حرجة للوصول إلى الملفات في Jira وConfluence ومنتجات Data Center أخرى

طلبت Atlassian من عملاء منتجاتها المستضافة ذاتيًا من فئة Data Center تثبيت تحديثات أمنية لمعالجة ثغرة حرجة تحمل المعرّف CVE-2026-21589. ووفقًا لموقع The Register، أرسلت الشركة يوم الاثنين رسالة بريد إلكتروني إلى المستخدمين بعنوان «Action required» تتضمن رابطًا إلى نشرتها الأمنية. ويفيد The Register بأن الثغرة حصلت على درجة خطورة تبلغ 9.3.

الخلل هو نقطة ضعف تسمح بالوصول التعسفي إلى الملفات. وتقول النشرة الاستشارية لشركة Atlassian، كما نقلها الموقعان، إن مهاجمًا لم يسجّل الدخول يمكنه الوصول إلى ملفات محددة داخل الدليل الجذري لتطبيق الويب في الإصدارات المتأثرة. لكن هناك قيدًا: إذ يجب أن يعرف المهاجم مسبقًا الاسم والمسار الدقيقين للملف، ولا يمكن استخدام الثغرة لعرض محتويات أي دليل. وتحذّر Atlassian أيضًا من أن بعض الإعدادات قد تحتوي على ملفات حساسة، ما يزيد من الخطر.

المنتجات المتأثرة هي Bitbucket وConfluence وJira Service Management وJira Software وBamboo وCrowd في إصداراتها من فئة Data Center، إضافة إلى Crucible وFisheye. ويسرد موقع BleepingComputer الإصدارات التي تعالج المشكلة؛ وجميع الإصدارات الأقدم منها معرّضة للثغرة. وهي: Bitbucket 9.4.26 و10.2.8 و10.5.1؛ وConfluence 9.2.26 و10.2.19؛ وJira Service Management 5.12.40 و10.3.26 و11.3.12؛ وJira Software 9.12.40 و10.3.26 و11.3.12؛ وBamboo 10.2.24 و12.1.12؛ وCrowd 6.3.7 و7.0.3 و7.1.7 و7.2.4؛ وCrucible وFisheye 4.9.15.

يُنصح المسؤولون الذين لا يستطيعون الترقية فورًا بحظر الوصول من الشبكات الخارجية، حتى بالنسبة إلى النسخ المكشوفة على الإنترنت التي تطلب من المستخدمين تسجيل الدخول. ووفقًا لموقع BleepingComputer، تسرد النشرة الاستشارية أيضًا إجراءات تخفيف مؤقتة: قاعدة في جدار حماية تطبيقات الويب (WAF) أو في الخادم الوكيل (proxy) تحظر أنماط اجتياز المسارات المذكورة في النشرة، وقواعد Tomcat RewriteValve لكل من Confluence وJira وJira Service Management وBamboo وCrowd، وقاعدة لإعادة كتابة عناوين URL في Bitbucket. ويجب تطبيق كل واحد من هذه التغييرات على جميع عُقد العنقود، بما في ذلك النسخ المرآة (mirrors) وعُقد مزرعة النسخ المرآة (mirror farm) في Bitbucket.

تقول Atlassian إنه لا يوجد لديها حاليًا أي دليل على استغلال الثغرة. ومع ذلك تطلب من المسؤولين فحص سجلات الوصول بحثًا عن أنماط الاجتياز التي تصفها، وتقول إنها لا تستطيع معرفة ما إذا كانت نسخة معينة لدى أحد العملاء قد اختُرقت، لذا ينبغي للعملاء الذين يستضيفون هذه المنتجات ذاتيًا إشراك فرق الأمن الخاصة بهم. أما عملاء الخدمة السحابية من Atlassian فلا يحتاجون إلى القيام بأي شيء، لأن الشركة أصلحت خدمتها المستضافة بالفعل.