Atlassian corregge una falla critica di accesso ai file in Jira, Confluence e altri prodotti Data Center

Atlassian ha chiesto ai clienti dei suoi prodotti Data Center self-hosted di installare gli aggiornamenti di sicurezza per una vulnerabilità critica identificata come CVE-2026-21589. Secondo The Register, lunedì l’azienda ha inviato agli utenti un’e-mail intitolata “Action required” con un link al proprio bollettino di sicurezza. The Register riferisce che la falla ha un punteggio di gravità di 9.3.

Il bug è una debolezza di accesso arbitrario ai file. Secondo l’avviso di Atlassian, citato da entrambe le testate, un aggressore che non ha effettuato l’accesso può raggiungere file specifici all’interno della directory root dell’applicazione web nelle versioni interessate. C’è un limite: l’aggressore deve conoscere in anticipo il nome e il percorso esatti del file, e la falla non può essere usata per elencare il contenuto di una directory. Atlassian avverte inoltre che alcune configurazioni potrebbero contenere file sensibili, il che aumenta il rischio.

I prodotti interessati sono Bitbucket, Confluence, Jira Service Management, Jira Software, Bamboo e Crowd nelle edizioni Data Center, oltre a Crucible e Fisheye. BleepingComputer elenca le release che risolvono il problema; tutte le versioni precedenti sono vulnerabili. Si tratta di Bitbucket 9.4.26, 10.2.8 e 10.5.1; Confluence 9.2.26 e 10.2.19; Jira Service Management 5.12.40, 10.3.26 e 11.3.12; Jira Software 9.12.40, 10.3.26 e 11.3.12; Bamboo 10.2.24 e 12.1.12; Crowd 6.3.7, 7.0.3, 7.1.7 e 7.2.4; e infine Crucible e Fisheye 4.9.15.

Agli amministratori che non possono aggiornare subito si consiglia di bloccare l’accesso dalla rete esterna, anche per le istanze esposte su internet che richiedono agli utenti di effettuare l’accesso. Secondo BleepingComputer, l’avviso elenca anche mitigazioni temporanee: una regola di web application firewall (WAF) o di proxy che blocchi i pattern di traversal indicati nel bollettino, regole Tomcat RewriteValve per Confluence, Jira, Jira Service Management, Bamboo e Crowd, e una regola di URL rewrite per Bitbucket. Ciascuna di queste modifiche va applicata su tutti i nodi del cluster, inclusi i mirror e i nodi della mirror farm di Bitbucket.

Atlassian afferma di non avere al momento prove che la falla venga sfruttata. Chiede comunque agli amministratori di controllare i log di accesso alla ricerca dei pattern di traversal che descrive, e dice di non poter stabilire se una determinata istanza di un cliente sia stata compromessa; per questo i clienti self-hosted dovrebbero coinvolgere il proprio team di sicurezza. I clienti del cloud di Atlassian non devono fare nulla, perché l’azienda ha già applicato la patch al proprio servizio in hosting.