Atlassian menambal celah akses file kritis di Jira, Confluence, dan produk Data Center lainnya

Atlassian telah meminta pelanggan produk Data Center yang di-host sendiri untuk memasang pembaruan keamanan bagi kerentanan kritis yang dilacak sebagai CVE-2026-21589. Menurut The Register, perusahaan itu mengirim email kepada pengguna pada hari Senin dengan judul “Tindakan diperlukan” yang menautkan ke buletin keamanannya. The Register melaporkan bahwa celah tersebut memiliki peringkat tingkat keparahan 9.3.

Bug ini merupakan kelemahan akses file sembarang (arbitrary file access). Imbauan keamanan Atlassian, sebagaimana dikutip oleh kedua media, menyebutkan bahwa penyerang yang tidak login dapat menjangkau file tertentu di dalam direktori root aplikasi web pada versi yang terdampak. Ada batasannya: penyerang harus mengetahui nama dan path file secara persis sebelumnya, dan celah ini tidak dapat digunakan untuk menampilkan daftar isi sebuah direktori. Atlassian juga memperingatkan bahwa beberapa konfigurasi mungkin menyimpan file sensitif, sehingga risikonya meningkat.

Produk yang terdampak adalah Bitbucket, Confluence, Jira Service Management, Jira Software, Bamboo, dan Crowd dalam edisi Data Center, ditambah Crucible dan Fisheye. BleepingComputer mencantumkan rilis yang memperbaiki masalah ini; semua versi sebelumnya rentan. Rilis tersebut adalah Bitbucket 9.4.26, 10.2.8, dan 10.5.1; Confluence 9.2.26 dan 10.2.19; Jira Service Management 5.12.40, 10.3.26, dan 11.3.12; Jira Software 9.12.40, 10.3.26, dan 11.3.12; Bamboo 10.2.24 dan 12.1.12; Crowd 6.3.7, 7.0.3, 7.1.7, dan 7.2.4; serta Crucible dan Fisheye 4.9.15.

Administrator yang tidak dapat segera melakukan upgrade disarankan untuk memblokir akses jaringan dari luar, bahkan untuk instans yang terhubung ke internet dan mengharuskan pengguna masuk. Menurut BleepingComputer, imbauan tersebut juga mencantumkan mitigasi sementara: aturan web application firewall (WAF) atau proxy yang memblokir pola traversal yang disebutkan dalam buletin, aturan Tomcat RewriteValve untuk Confluence, Jira, Jira Service Management, Bamboo, dan Crowd, serta aturan URL rewrite untuk Bitbucket. Setiap perubahan ini harus diterapkan di semua node klaster, termasuk mirror dan node mirror farm Bitbucket.

Atlassian mengatakan saat ini belum memiliki bukti bahwa celah tersebut sedang dieksploitasi. Meski begitu, perusahaan meminta administrator memeriksa log akses mereka untuk mencari pola traversal yang dijelaskannya, dan mengatakan tidak dapat mengetahui apakah instans pelanggan tertentu telah disusupi, sehingga pelanggan yang meng-host sendiri sebaiknya melibatkan tim keamanan mereka. Pelanggan cloud Atlassian tidak perlu melakukan apa pun, karena perusahaan sudah menambal layanan yang di-host-nya.